[发明专利]一种恶意软件通讯活动检测方法、系统及存储介质有效
| 申请号： | 201910769608.3 | 申请日： | 2019-08-20 |
| 公开（公告）号： | CN110535844B | 公开（公告）日： | 2021-09-28 |
| 发明（设计）人： | 王广耀;韩传富;仇新伟 | 申请（专利权）人： | 北京网思科平科技有限公司;南京南数数据运筹科学研究院有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06 |
| 代理公司： | 北京知呱呱知识产权代理有限公司 11577 | 代理人： | 管士涛 |
| 地址： | 100193 北京市海淀*** | 国省代码： | 北京;11 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明实施例公开了一种恶意软件通讯活动检测方法、系统及存储介质，该方法包括：获取目标环境内的每一台主机的网络通讯数据；对网络通讯数据进行处理，获取每一台主机分别对应的标准字段；当确定第i台主机对应的第j个IP对为第一类型IP对时，根据相邻两次通讯发起时间间隔确定其是否为恶意软件beacon通讯活动；或者，当确定第i台主机对应的第j个IP对为第二类型IP对时，统计第二预设时间段内第i台主机对应的第j个IP对中本地IP和远程IP之间的第一平均通讯次数，以及第一实际通讯次数；根据第一平均通讯次数和第一实际通讯次数，确定其是否为恶意软件beacon通讯活动；当确定为恶意软件beacon通讯活动时，发出告警信息。 | ||
| 搜索关键词： | 一种 恶意 软件 通讯 活动 检测 方法 系统 存储 介质 | ||
【主权项】：
1.一种恶意软件通讯活动检测方法，其特征在于，所述方法包括：/n获取目标环境内的每一台主机的网络通讯数据；/n对所述网络通讯数据进行处理，获取每一台主机分别对应的标准字段，其中所述标准字段中包括有每一台主机分别对应的至少一个IP对以及每一个IP对之间的通讯发起时间，每个IP对由本地IP和与之建立通信连接的一个远程IP构成；/n统计第一预设时间段内，第i台主机对应的第j个IP对中本地IP和远程IP之间的第一总通讯次数；/n当根据所述第一总通讯次数，确定所述第i台主机对应的第j个IP对为第一类型IP对时，根据所述第i台主机对应的第j个IP对的相邻两次通讯发起时间间隔确定所述第i台主机对应的第j个IP对之间的通讯活动是否为恶意软件beacon通讯活动；/n或者，当根据所述第一总通讯次数，确定所述第i台主机对应的第j个IP对为第二类型IP对时，统计第二预设时间段内第i台主机对应的第j个IP对中本地IP和远程IP之间的第一预设单位时间的第一平均通讯次数，以及每一个第一预设单位时间内第i台主机对应的第j个IP对中本地IP和远程IP之间的第一实际通讯次数；/n根据所述第一平均通讯次数，以及所述第一实际通讯次数，确定所述第i台主机对应的第j个IP对之间的通讯活动是否为恶意软件beacon通讯活动；/n当确定所述第i台主机对应的第j个IP对之间的通讯活动为恶意软件beacon通讯活动时，发出告警信息，其中，所述第二预设时间段大于所述第一预设时间段，i为大于或者等于1，且小于或者等于主机总数量的正整数，i初始取值为1，依次递进取值，但周期性更新；j为大于或者等于1，且小于或者等于第i台主机中所有IP对总数量的正整数，j初始取值为1，j依次递进取值。/n
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于北京网思科平科技有限公司;南京南数数据运筹科学研究院有限公司，未经北京网思科平科技有限公司;南京南数数据运筹科学研究院有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201910769608.3/，转载请声明来源钻瓜专利网。
