[发明专利]基于沙箱检测文件识别木马回连方法及装置

摘要

本发明实施例提供的基于沙箱检测文件识别木马回连方法及装置，属于网络安全检测领域。该方法通过捕获流经网卡的IP协议流量数据包，从而解析所述流量数据包，并分离所述流量数据包所携带的文件，再基于沙箱检测所述文件，捕获网络行为，再通过判断所述网络行为是否是恶意行为来识别所述网络行为所对应的域名和互联网协议地址是否为回连域名，进而通过回连域名准确识别回连行为，并能获取被木马感染的设备IP；同时能识别一些可疑的回连域名供安全人员进一步分析，进一步更快更高效的识别回连域名。

主权项

一种基于沙箱检测文件识别木马回连方法，其特征在于，包括：捕获流经网卡的IP协议流量数据包；解析所述流量数据包，并分离所述流量数据包所携带的文件；基于沙箱检测所述文件，捕获网络行为；判断所述网络行为是否是恶意行为；若是，将所述网络行为所对应的域名和互联网协议地址存入预设回连名单库；若否，判断所述网络行为所对应的域名是否属于预设白名单库；若否，判断所述域名和所述域名所对应的所述互联网协议中至少一个是否属于所述回连名单库；若是，将不属于所述回连名单库的一个存入所述回连名单库；若否，将所述互联网协议地址和所述域名存入预设可疑名单库。