[发明专利]基于自学习方式获取木马控制端IP地址的方法、系统和存储设备

摘要

本发明涉及网络安全，旨在提供基于自学习方式获取木马控制端IP地址的方法及系统。该基于自学习方式获取木马控制端IP地址的方法及系统，通过下述步骤实现：提取网络流量中传输的文件并分析，进行恶意木马控制端IP地址提取和可疑IP标记；持续监控被保护主机的网络流量和传输的文件，进行恶意目标IP地址标记；恶意目标IP地址和恶意木马控制端IP地址，即为木马控制端IP地址。本发明借助网络流量分析和持续监控，使用沙箱技术对木马行为进行分析，利用自学习方式持续完善木马控制端IP的检测能力，实现了对木马控制端服务器IP地址的自动地识别和提取。

主权项

1.一种基于自学习方式获取木马控制端IP地址的方法，其特征在于，具体包括下述步骤：步骤(1)：对网络流量的网络流量协议进行识别，提取网络流量中传输的文件，丢弃未包含文件的网络流量；步骤(2)：对步骤(1)提取出的文件样本进行恶意特征检测：如果文件样本与恶意特征库中的恶意特征匹配，则标记该文件样本为恶意样本，放入虚拟沙箱环境运行分析：若该恶意样本在虚拟沙箱运行过程中不包含网络行为，则丢弃该恶意样本；若该恶意样本在虚拟沙箱运行过程中包含网络行为，则提取网络行为的目标IP地址，作为恶意木马控制端IP地址；如果文件样本在恶意特征检测中，与恶意特征库中的恶意特征不匹配，则进入步骤(3)执行；步骤(3)：将步骤(2)恶意特征检测不匹配的文件样本，放入虚拟沙箱环境运行分析：若该文件样本在虚拟沙箱运行过程中不包含网络行为，则丢弃该文件样本；若该文件样本在虚拟沙箱运行过程中包含网络行为，则对网络行为进行监控：若网络行为中包含敏感操作行为，则将该文件样本加入可疑样本列表，并提取网络行为的目标IP地址，并将该IP地址标记为可疑IP；所述敏感操作行为是指能对被保护主机产生恶意影响的行为；所述可疑样本列表是指可疑恶意文件md5列表；步骤(4)：持续监控被保护主机的网络流量和传输的文件，并通过虚拟沙箱对传输的文件进行分析，如果发现该文件的网络行为中包含敏感操作行为，且该文件的网络通信目标IP与步骤(3)中的可疑IP地址一致，则将该文件的网络通信目标IP标记为恶意目标IP地址；步骤(5)：将步骤(4)提取的恶意目标IP地址和步骤(2)提取的恶意木马控制端IP地址，加入恶意IP库；该恶意IP库即为获取的木马控制端IP地址。