CN1647483A - 检测和反击企业网络中的恶意代码 - Google Patents
检测和反击企业网络中的恶意代码 Download PDFInfo
- Publication number
- CN1647483A CN1647483A CNA038084031A CN03808403A CN1647483A CN 1647483 A CN1647483 A CN 1647483A CN A038084031 A CNA038084031 A CN A038084031A CN 03808403 A CN03808403 A CN 03808403A CN 1647483 A CN1647483 A CN 1647483A
- Authority
- CN
- China
- Prior art keywords
- diji
- local
- server
- unconventional
- alarm
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F15/00—Digital computers in general; Data processing equipment in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
- H04L63/0218—Distributed architectures, e.g. distributed firewalls
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F15/00—Digital computers in general; Data processing equipment in general
- G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
- G06F15/163—Interprocessor communication
- G06F15/173—Interprocessor communication using an interconnection network, e.g. matrix, shuffle, pyramid, star, snowflake
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Physics & Mathematics (AREA)
- Computing Systems (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Software Systems (AREA)
- Mathematical Physics (AREA)
- Quality & Reliability (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
- Debugging And Monitoring (AREA)
- Dc Digital Transmission (AREA)
- Cable Transmission Systems, Equalization Of Radio And Reduction Of Echo (AREA)
- Meter Arrangements (AREA)
- Magnetic Resonance Imaging Apparatus (AREA)
- Materials For Medical Uses (AREA)
- Organic Low-Molecular-Weight Compounds And Preparation Thereof (AREA)
Abstract
提供了一个用于检测和反击一个企业网络中的恶意代码的***。一个模式识别处理器监控通过一个企业网络连接的多台本地机上的本地操作以检测非常规本地行为模式。在检测到一台本地机上的一个非常规本地行为模式后生成一个警报。来自多台本地机的非常规行为警报被分析。如果在一个相应的时间段中,从至少阈值数目台本地机接收到相似的警报,则根据对非常规行为警报的分析选择一个或多个对策操作。选中的对策操作被通信给本地机并被本地机执行。
Description
参照相关申请
本发明要求了共同转让的美国临时申请60/373135的优先权,该申请是2002年4月17日提出的,其标题为“检测和反击企业网络中的恶意代码”。
技术领域
本发明涉及计算机病毒和其他恶意计算机代码。本发明尤其涉及检测和反击一个企业计算环境中的病毒和其他恶意代码。
背景技术
在当今的信息时代,计算机和其他信息技术(IT)在几乎所有企业(例如,法人实体、商行、公司、机构、一个公共和政府团体、部门、代理处、慈善团体、其他组织等)的运转中都扮演着相当重要的角色。在许多情况下,企业开放其(至少一部分)计算机网络和信息***,以便供应商、伙伴、成员、顾客和其他组织访问,从而促进数据和信息的交换。一个企业网络可被配置为以下网络中的一个或这些网络的组合:一个局域网(LAN)、一个广域网(WAN)、一个内联网、一个通过远程访问的虚拟个人网络(VPN)、一个互联网或Internet等。此外,企业用户通常被提供有调制解调器或对一个外部网络的宽带访问(可能通过其企业网络),以便从他人获取数据/信息。
由于一个企业网络通常可提供一个开放环境,恶意软件(例如病毒、特洛伊、蠕虫和其他恶意计算机代码)的攻击是对计算机和企业信息***的其他元件的一个持续和增长的威胁。一个企业计算环境中的用户除非被***警告感染,否则通常不知道其计算机被恶意代码感染了。因此,当企业环境中的一台计算机被恶意代码攻击时,感染通常迅速在整个企业网络内扩散,到达其他计算机和企业资源。在大多数情况下,一个恶意代码感染一个网络环境的时间越长,越难将感染从该环境根除。
已知存在多种类型的计算机病毒。驻留内存的病毒通常将其自身附着在可执行文件上,并在可执行文件运行时加载到一台计算机的内存中。一旦到了内存中,则病毒可接管计算机的操作***,从而获取对受限资源(例如安全措施)的访问权限。
引导扇区病毒用病毒代码覆盖包含了***引导时执行的代码一台计算机的硬盘的一个引导扇区,以使得计算机引导(例如,计算机启动/重机启动时)病毒总被加载到计算机的内存中。一旦存在于计算机的内存中,则病毒可迅速在计算机内扩散。
某些病毒躲藏在一台计算机的文件***中,并通过在一个被感染的程序运行时感染其他程序/文件而在文件***中复制自身。某些文件病毒可将自身复制到基本的***文件,从而获取对被保护资源的访问权限,并使自己更难被删除。
其他类型的病毒被写入到特定计算机程序(例如,字处理程序、电子数据表程序等)的宏语言中,并且在程序运行、通过程序访问一个文档或者当一个用户在程序内执行一个预定的操作(例如一个特定的键击或菜单选择时)被触发。
某些病毒时多形态的(例如,周期性地更改其签名)以便它们能够逃避扫描病毒签名的签名扫描检测方法。混合或多方病毒具有多种类型的恶意代码的特征。
某些恶意代码具有类特洛伊的特征。与传说中的木马一样,特洛伊通过假装是某种它不是的东西来运行。通常,特洛伊伪装成有用的或娱乐软件,同时携带在为运行程序的用户提供的权限下在目标计算机上执行的病毒或恶意代码。特洛伊通常不直接攻击主机,但是却为随后的更严重的攻击提供了一个后门。
一个蠕虫是一段软件,它通常在没有任何人为干预(例如打开一个文件、运行一个程序等)的情况下,在计算机网络中传播自身。通常,它通过利用在目标计算机上运行的一般使用的网络软件中的缺陷或被忽略的特征来感染一个网络。
常规安全工具通常针对已知的恶意代码,但是对于不断增长的新病毒和其他恶意代码流却无能为力。这种安全工具通常忙于追逐应对新恶意代码的繁殖。大多数常规安全工具需要例如通过二进制补丁和/或算法优化,来重新调整或重新配置,以便增强工具检测和应对新的安全威胁的能力。除非工具被更新以对付一个新的威胁,否则工具都是不称职的,会将企业网络暴露在威胁所引起的混乱之中。
从新安全威胁的多量性和不断更改的特征来看,需要先发制人的安全工具,它在一个安全漏洞发生之前就处于运行中。
先发制人的安全性包括识别一个潜在的威胁。大多数常规的安全机制依赖检测固定的、已知的病毒签名或频繁使用的用于攻击安全缺陷的技术。这种检测机制使用病毒签名文件和/或固定安全策略规则。但是,在可检测新的恶意代码之前必须适当更新签名文件和/或策略规则。
常规安全措施将恶意代码视为一个设计为针对一台特定机器的原子执行模块。但是,正如上文建议的,大多数恶意代码是被设计为从一台目标机器传播到另一台,并且许多恶意代码是自传播的由于恶意代码通常不是一个原子单元,如果一个软件病毒已经渗透到了企业环境中,则它应该在几台机器上进行相似的操作。因此,将检测机制本地化到一台机器是不够的。此外,大多数常规的安全工具具有一个处理延时,这使得只能在攻击已在企业环境中充分传播以后才能进行对一个恶意攻击的检测和干预。
虽然某些企业安全工具能够同步整个企业网络中的安全策略和/或收集客户反馈,但是它们不会同步从客户机接收到的数据以监控大规模客户行为,而这可以是诊断整个网络环境中大规模的可疑行为的一个有用的安全信息源。
预防、阻止和隔离恶意攻击也是一个先发制人的安全制度的一部分。常规的阻止程序通常依赖于提供对一个危机情况的有限即时解决方案的固定方法。此外,一个网络环境中的这些措施通常依赖于一个固定的远程管理协议,因此如果一个未预期到的攻击要求协议不能执行的操作,则严重限制了功能。
因此,需要新的、更灵活的标识和反击新的计算机病毒和恶意代码的方法。
发明内容
本发明提供了一种***,用于检测和反击一个企业网络中的已知和未知的恶意代码。在一个实施方式中,本***包括一台服务器和通过企业网络连接到服务器的多台本地机。每台本地机包括一个模式识别处理器,它监控本地操作,以检测非常规的本地行为模式,并且在检测到非常规的本地行为模式后生成一个警报。服务器监控并分析来自多个本地机的非常规行为警报。如果在一个相应的时间段中,从至少一个阈值数目台本地机接收到相似的警报,则服务器根据对非常规行为警报的分析选择一个或多个对策操作,并将选中的将由本地机执行的对策操作通信给本地机。
本发明还提供了一种检测和反击一个具有一个服务器和多个本地机的企业网络***中的恶意代码的方法。在一个实施方式中,本方法包括(a)监控每台本地机上的本地操作,以检测非常规的本地行为模式,并且如果在本地机检测到非常规的本地行为模式,则从本地机生成一个非常规行为警报到服务器,以及(b)在服务器处分析来自本地机的非常规行为警报,并且,如果在一个相应的时间段中从至少一个阈值数目台本地机接收到相似的警报,则根据对非常规行为警报的分析选择一个或多个对策操作,并且将选中的对策操作通信给本地机。
附图说明
从以下参照附图的详细说明中将更容易理解本发明的特征,附图中:
图1A显示了根据本发明的一个实施方式的一个用于检测和反击一个企业网络中的恶n意代码的***的框图。
图1B显示了根据本发明的另一个实施方式的一个用于检测和反击一个企业网络中的恶意代码的***的框图。
图2A显示了根据本发明的另一个实施方式的本地机群的示意图示。
图2B显示了在对应于图2A的实施方式中的一个本地机群中的时序的示意图示。
图3显示了根据本发明的一个实施方式的一种检测和反击一个企业网络中的恶意代码的方法的流程图;以及
图4显示了根据本发明的另一个实施方式的一个用于检测和反击一个企业网络中的恶意代码的框图。
具体实施方式
本申请提供了检测和反击一个企业网络中的已知和未知恶意代码的***和方法形式的工具。检测恶意代码可通过监控整个企业内的非常规操作完成,其中非常规操作在某些情况下可能归结于新的未标识的代码在运行。工具可实施在存储在一个计算机可读介质上和/或通过一个计算机网络或其他传输介质传输的一个或多个计算机程序。
工具可与例如企业管理软件集成,以便更有效地检测对全企业的安全性的危及。企业工作站/计算机(这里也称为“本地机”)通常配置相似(例如可由企业政策指定)。大多数企业用户使用相似的工具集合,并且具有相似的软件使用习惯。企业用户通常分组成逻辑集合,例如提供相同的功能(例如,管理、市场、支持等)。逻辑分组使它们彼此更加不同。由于彼此不同,因此每个群组可以自适应一个不同的配置文件,以被一个模式识别处理器训练,如下所述。当几个工作站偏离其正常操作路径时,则可推断出在整个企业环境中发生了某些非常规的事。
图1A中显示了根据一个实施方式的一个用于检测和反击一个企业网络中的恶意代码的***。***1包括一台服务器3和本地机2-1至2-N,它们通过网络5连接到服务器。每台本地机(2-1至2-N)包括一个模式识别处理器2a。模式识别处理器监控本地操作,以检测非常规本地行为模式,并且在检测到一个非常规本地行为模式后生成一个警报。服务器3监控和分析来自本地机(2-1至2-N)的非常规行为警报。如果在一个相应的时间段中,从至少一个阈值数目台本地机接收到相似的警报,则服务器根据对非常规行为警报的分析选择一个或多个对策操作,并将选中的将由本地机执行的对策操作通信给本地机。
一个企业环境中的未知性质的(即没有已知签名或行为模式的)恶意代码配置可通过模式识别技术(例如神经网络、群集技术、判决树技术等)检测。例如,本地机上的本地模式之外行为被连续或以短时间区间周期性地监控,来自通过企业网络连接的多个本地机的结果被同步,以便识别大规模的非常规行为模式。
例如,模式识别处理器可监控对本地操作***的调用。可提供一个信号监控器以保存一个本地操作***调用日志。
每台本地机进一步包括一个远程控制核心,它包括一个用于与服务器通信的网络中继。非常规行为警报通过网络中继从本地机通信给服务器。虽然在一个本地机检测到非常规行为将触发向网络发布一个警报,但对非常规行为的附加确认将触发整个网络中的干预措施。在确定检测到恶意代码后,一个抽象,远程控制核心可被用于迅速配置更改、补丁或者任何可能的处理本地机处的威胁需要的操作。远程控制指令可由本地机通过网络中继接收。
***可进一步包括一个群集管理器。非常规行为警报通过群集管理器从多个本地机通信到服务器。
服务器可以是一个用于监控企业网络中的可疑活动的专用***。对策操作可包括通知企业内的管理工具,指示本地机关闭一个或多个与非常规行为警报有关的功能,和/或通过电子邮件警告用户。从服务器传输到本地机的一个对策操作可由库名称和函数调用或者由工具名称标识。
图1B中显示了根据一个客户机-服务器范例的一个用于检测和反击一个企业网络中的恶意代码的***。但是应理解的,本申请的工具不限于一个客户机-服务器程序模型,而是可用于对等网络***、消息传输***以及其他程序模型。
***10包括一台服务器14和位于多个本地机11-1至11-N上的客户机12,这些本地机通过网络15连接到服务器。每个客户机12可包括一个模式识别处理器12a,并且可选地包括一个操作***信号监控器12b和一个远程控制核心12c。包括模式识别处理器、信号监控器和远程控制核心的客户机12,可以是存储在相应的本地机(11-1...11-N)上或者通过一个计算机网络或其他传输介质传输到本地机的一个计算机可读介质上的计算机程序。例如,客户机可以是对一个操作***内核的紧密扩展。
模式识别处理器2a或12a监控相应的本地机上的操作,例如对本地操作***13的调用。模式识别处理器可采用神经网络或其他人工智能技术来检测本地机内的非常规行为模式。例如,该方法可包括神经网络、基于规则和状态分析技术的一个组合,例如共有美国专利5796942、5734796、6134537、6212509和6327550号,以及共有的待审的标题为“处理混合的数值和/或非数值数据”的美国专利申请60/374064、标题为“自动神经网络模型生成和维护”的美国专利申请60/374020、标题为“通过分级成像查看多维数据”的申请60/374024、标题为“用于发现一个***内的进化改变的方法和设备”的申请60/374041、标题为“通过本地网络进行的自动模型维护”的申请60/373977,以及标题为“将神经网络用于数据采掘”的申请60/373780,这些专利申请在此处被完全包含进来作为参考。
模式识别处理器可连续监控本地行为模式,或者按照时间周期地操作,其中最好每个时间区间不多于几分钟。在时间区间末尾,模式检测处理器分析区间内的行为模式,并且如果检测到一个非常规模式,则将警报发送给远程控制核心,其中包含最新发现。分析还可包括考虑先前的时间区间记录的行为模式。
在一个模式识别处理器监控对本地操作***13的调用的实施方式中,信号监控器12b可以进入本地机上的操作***,以旁听操作***调用(例如,文件输入-输出、网络输入-输出,内存管理等)。信号监控器模块可以紧密融合到操作***中,例如,可作为操作***内核的一个扩展。通过对操作***的这种联系,信号监控器模块监控和记录无害的或恶意的操作***调用活动。模式识别处理器12a周期性地分析操作***调用记录以检测任何非常规模式。
模式识别处理器可被训练为适用于检测其他非常规和/或恶意或病毒行为模式。非常规行为模式可对应于,例如,已知或未知病毒、特洛伊、蠕虫或其他恶意代码(例如具有内h存驻留、文件和/或宏病毒特征的)。模式识别处理器还可以检测内部恶意操作,例如对几台企业机的疏忽性的或直接攻击性的“删除”操作。
除模式识别技术外,模式识别处理器可使用多种检测方法,例如完整性检查(例如,校验或检测一个程序的文件大小的改变)、多态代码检测、中断监控(监控对受限***资源的访问)、统计分析、签名和/或启发式扫描等。某些示例性的病毒/恶意代码检测方法在2001年7月14日提出申请的美国专利申请09/905342、09/905340、09/905533、09/905341、90/905532和09/905343、于2001年3月30日提出申请的09/823673以及于2001年11月30日提出申请的60/334420中描述,这些专利申请在此处均被包含进来作为参考。
远程控制核心12c提供了一个网络中继,用于将本地访问的信息传输到服务器,并且用于从服务器接收指令,用于本地工作站的远程管理。远程控制进程可包括一个管理协议,用于本地安全措施。本地保护性的(或干预性的)安全措施可包括,例如,阻止对选中文件的任何访问、对一个可疑文件设置一个隔离以防止复制可疑文件(到一台服务器、另一个存储介质、另一个域等)、防止从一台本地机到其他机器的文件传输和/或其他通信,对一个特定用户设置一个隔离以限制用户对本地和/或企业资源(例如,文件***)的访问权限、补救一个受感染的文件等。
最好提供一个抽象控制机制,它符合***的软件特征(例如,操作***、应用软件、工具、动态链接库等的安装的代码的任何要求),以便实现可远程调用的阻止和/或干预功能。另外最好控制机制不被通信协议所限,以便最小化通信开销。远程管理可由服务器通过指定要执行的操作(例如,库名称和函数调用、工具名称、参数等)来执行。然后远程客户机动态地执行操作。抽象远程管理核心使得能够远程指定***支持的操作。从而,可最小化在远程控制核心处的固定协议限制。
实际上可指定和实现任何远程操作,以便在展开更常规的安全策略之前关闭一个安全缺口。例如,如果一台服务器从一个群集中的预定数目台(例如三台)或更多台本地机接收到关于对一个限制访问的***资源的可疑的操作***调用的警报,则服务器可向群集中的每台机器广播,以通过其远程控制核心指示机器(a)在一个指定的时间段中禁止对目标***资源的访问,(b)同时在仿真模式中运行以标识在所述时间段期间操作***调用的源(和其他细节)。
通过群集一个局域网(LAN)中的几台本地机,客户机可以容易地分组成一个同步网络。可递归使用一个或多个群集管理器以便将可疑行为模式流发送给服务器14(图2A和2B)。一个群集管理器可驻留在一台本地机上。本地机可将其最新发现的一个压缩签名作为一个警报发送给群集管理器。
一台本地机可以是任何已知的计算平台(例如,一台IBM兼容的或Macintosh个人计算机、一台工作站、一台手持计算机或计算设备,具有一个嵌入式处理器和操作***的其他设备等)。LAN可以是常规的电缆连接的或无线的(例如,遵循IEEE802.11b标准)。
一台专用机器可用作服务器14。通过收集整个企业内的警报,服务器能够监控全局可疑活动。服务器可使用一个基于规则的方法(和/或其他人工智能),以确定何时在本地机上采取对策操作,以及当遇见特定阈值个相似的警报时采取的对策。
例如,服务器可进行一个或多个以下操作:通知整个企业内(用户和资源)的管理工具,例如,限制用户和/或资源访问;通过电子邮件(或广播)向所有用户发布一个警告;指示每台(可能)受感染的机器关闭;查明恶意代码通过网络的确切流动;以及通过经由其远程控制核心向客户机广播来提供一个关于如何防卫以便威胁侵害的迅速的解决方案(例如,禁用一个目标软件,例如一个电子邮件程序或一个文字处理程序,或者关闭一个特定的TCP/IP端口)。
参考图1-3说明了根据本发明的一个实施方式的一个检测和反击一个企业网络中的恶意代码的方法。一台本地机2或11的模式识别处理器2a或12a监控本地操作,例如对本地操作***的调用,以检测本地机处的非常规行为模式(步骤S31)。可选地,信号监控器12b可记录本地机处的操作***调用(例如,文件输入-输出调用、网络输入-输出调用、内存管理调用等)以维持一个本地操作***调用记录。在任何情况下,如果模式识别处理器检测到非常规的本地行为模式(步骤S32),则处理器生成一个非常规行为警报(步骤S33)。警报通过一个远程控制核心12c的网络中继以及可选地一个群集管理器从本地机传输到服务器3或14。同时,服务器分析来自本地机的非常规行为警报(步骤S34)。服务器可以是一个专用***,它被分配了监控企业网络中的可疑活动的任务。如果在一个相应的时间段中相似警报的数目超过一个阈值数目(例如,5分钟内5个警报,10分钟内12个警报等)[步骤S35],则服务器根据警报的性质选择一个或多个对策操作,并且将对策操作通信给客户机(步骤S36)。对策操作可包括通知整个企业内的管理工具,指示关闭一个或多个本地功能和/或通过电子邮件警告用户。对策操作可由库名称和函数调用、工具调用等标识。
对未知恶意代码(例如,病毒、蠕虫、特洛伊、嵌入的脚本或任何其他行为的软件病毒)的先发制人的检测和反击可通过利用模式识别方法(例如神经网络和其他人工智能)紧密跟踪非常规***行为来获得。在上述实施方式中,数据可在网络化的企业工作站(这些工作站可能是群集的)上同步以检测任何可能意味着一个新病毒的分布广泛的非常规行为。如果检测到类似病毒的非常规行为,则一个集成的抽象的远程管理核心可被用来执行不工作的对策,以阻止病毒,以及进行防护以免其进一步传染。
根据另一个实施方式(图4),数据可从本地机(42-1至42-N)被收集,并且被一个中央位置(服务器41)中的一个模式识别处理器41a处理。在一个中央位置进行数据的收集和处理可增加网络流量。但是,可通过使用一个简化的检测配置(例如,通过减小客户机数据收集的规模)来减轻增加的流量。
虽然最好上述实施方式中的服务器是一个专用站,但是一个具有其他功能和职责的站也可用作企业监控器。此外,企业网络中的每台机器可具有服务器的功能,以及客户机的功能。警报可作为一条消息从一台机器(分组地或独立地)传递到下一台。当一台机器接收到一条包含阈值数目个警报的消息时,它可调用服务器功能,以分析警报,并且向本地机广播一条指令,以执行本地机远程控制核心上可用的一个或多个对策。
此外,可在不背离发明精神或附录的权利要求书的范围的情况下,在示例性的实施方式上引入许多其他变体。不同的描述性实施方式的元件和/或特征可在本发明和附录的权利要求书的范围内彼此结合和/或彼此替换。
例如,模式识别处理器不必限于检测非常规操作***调用。可以为每个安全缺口而不是每个非常规安全缺口生成一个警报。这种检测方案容易实现得多。但是,会产生更多虚假警报。
在阅读了2002年4月17日提出申请的美国临时申请60/373135后,具有本领域一般技术者可很容易了解到其他变体,该申请在此处被完全结合进来作为参考。
Claims (20)
1.一个用于检测和反击一个企业网络中的恶意代码的***,包括:
一台服务器;以及
多台通过企业网络连接到所述服务器的本地机,每台本地机包括一个模式识别处理器,模式识别处理器监控本地操作,以检测非常规的本地行为模式,并且在检测到一个非常规本地行为模式后生成一个警报,
其中服务器监控和分析来自多台本地机的非常规行为警报,并且,如果在一个相应的时间段中,从至少一个阈值数目台本地机接收到相似的警报,则服务器根据对非常规行为警报的分析选择一个或多个对策操作,并将选中的将由本地机执行的对策操作传输给所述多个本地机。
2.权利要求1的***,其中模式识别处理器监控对本地操作***的调用。
3.权利要求2的***,其中每台本地机进一步包括一个信号监控器,并且信号监控器保存一个本地操作***调用日志。
4.权利要求1的***,其中每台本地机进一步包括一个远程控制核,其包括一个用于与服务器通信的网络中继,非常规行为警报通过网络中继从本地机传输给服务器,并且远程控制指令通过网络中继被本地机接收。
5.权利要求1的***进一步包括一个群集管理器,其中非常规行为警报通过群集管理器从多个本地机通信到服务器。
6.权利要求1的***,其中服务器是一个用于监控企业网络中的可疑活动的专用***。
7.权利要求1的***,其中对策操作包括通知整个企业的管理工具。
8.权利要求1的***,其中对策操作包括指示所述多个本地机关闭一个或多个与非常规行为警报有关的功能。
9.权利要求1的***,其中被服务器传输给所述多个本地机的一个对策操作是由库名称和函数调用标识的。
10.权利要求1的***,其中被服务器传输给所述多个本地机的一个对策操作是由工具名称标识的。
11.一种用于检测和反击一个具有一台服务器和多台本地机的企业网络中的恶意代码的方法,包括:
监控每台本地机上的本地操作,以检测非常规本地行为模式,并且如果在本地机处检测到一个非常规本地行为模式,则从本地机向服务器生成一个非常规行为警报;以及
在服务器处分析来自多个本地机的非常规行为警报,并且,如果在一个相应的时间段中,从至少一个阈值数目台本地机接收到相似的警报,则根据对非常规行为警报的分析选择一个或多个对策操作,并将选中的对策操作通信给所述多个本地机。
12.权利要求11的方法进一步包括监控对本地操作***的调用。
13.权利要求12的方法进一步包括保存一个本地操作***调用日志。
14.权利要求11的方法,其中对策操作包括通知整个企业的管理工具。
15.权利要求11的方法,其中对策操作包括指示所述多个本地机关闭一个或多个与非常规行为警报有关的功能。
16.权利要求11的方法,其中被服务器传输给所述多个本地机的一个对策操作是由库名称和函数调用标识的。
17.权利要求11的方法,其中被服务器传输给所述多个本地机的一个对策操作是由工具名称标识的。
18.一个***包括:
一个处理器;以及
一个可由***读取的程序存储设备,它有形地实现一个可由机器执行以执行权利要求11的方法的指令的程序。
19.一个可由一台机器读取的程序存储设备,它有形地实现一个可由机器执行以执行权利要求11的方法的指令的程序。
20.实现在一个传输介质中的一个计算机数据信号,它实现了可由一台计算机执行以执行权利要求11的方法的指令的程序。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US37313502P | 2002-04-17 | 2002-04-17 | |
US60/373,135 | 2002-04-17 |
Publications (1)
Publication Number | Publication Date |
---|---|
CN1647483A true CN1647483A (zh) | 2005-07-27 |
Family
ID=29250972
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CNA038084031A Pending CN1647483A (zh) | 2002-04-17 | 2003-04-15 | 检测和反击企业网络中的恶意代码 |
Country Status (12)
Country | Link |
---|---|
US (1) | US7934103B2 (zh) |
EP (1) | EP1495616B1 (zh) |
JP (1) | JP2005523539A (zh) |
KR (1) | KR20040101490A (zh) |
CN (1) | CN1647483A (zh) |
AT (1) | ATE467297T1 (zh) |
AU (1) | AU2003223656A1 (zh) |
BR (1) | BR0309288A (zh) |
CA (1) | CA2480475A1 (zh) |
DE (1) | DE60332448D1 (zh) |
IL (1) | IL164609A0 (zh) |
WO (1) | WO2003090426A1 (zh) |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102272714A (zh) * | 2009-01-07 | 2011-12-07 | 美光科技公司 | 具有匹配数据报告模块的型式辨识处理器 |
CN107211014A (zh) * | 2014-12-23 | 2017-09-26 | 迈克菲公司 | 使用数据交换层***的事件响应工具 |
CN109246072A (zh) * | 2017-07-11 | 2019-01-18 | 波音公司 | 具有自适应机器学习特征的网络安全*** |
Families Citing this family (93)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7647645B2 (en) * | 2003-07-23 | 2010-01-12 | Omon Ayodele Edeki | System and method for securing computer system against unauthorized access |
US7639714B2 (en) | 2003-11-12 | 2009-12-29 | The Trustees Of Columbia University In The City Of New York | Apparatus method and medium for detecting payload anomaly using n-gram distribution of normal data |
US7752320B2 (en) * | 2003-11-25 | 2010-07-06 | Avaya Inc. | Method and apparatus for content based authentication for network access |
US7533407B2 (en) * | 2003-12-16 | 2009-05-12 | Microsoft Corporation | System and methods for providing network quarantine |
US7603716B2 (en) * | 2004-02-13 | 2009-10-13 | Microsoft Corporation | Distributed network security service |
GB2411313B (en) * | 2004-02-21 | 2006-07-26 | Hewlett Packard Development Co | Network connection control |
US20050229250A1 (en) * | 2004-02-26 | 2005-10-13 | Ring Sandra E | Methodology, system, computer readable medium, and product providing a security software suite for handling operating system exploitations |
US20050216762A1 (en) * | 2004-03-25 | 2005-09-29 | Cyrus Peikari | Protecting embedded devices with integrated reset detection |
US20050267954A1 (en) * | 2004-04-27 | 2005-12-01 | Microsoft Corporation | System and methods for providing network quarantine |
US20050257263A1 (en) * | 2004-05-13 | 2005-11-17 | International Business Machines Corporation | Andromeda strain hacker analysis system and method |
US8407792B2 (en) | 2004-05-19 | 2013-03-26 | Ca, Inc. | Systems and methods for computer security |
WO2005114952A1 (en) | 2004-05-20 | 2005-12-01 | Computer Associates Think, Inc. | Intrusion detection with automatic signature generation |
WO2005114955A1 (en) * | 2004-05-21 | 2005-12-01 | Computer Associates Think, Inc. | Systems and methods of computer security |
US20060037077A1 (en) * | 2004-08-16 | 2006-02-16 | Cisco Technology, Inc. | Network intrusion detection system having application inspection and anomaly detection characteristics |
US7690033B2 (en) * | 2004-09-28 | 2010-03-30 | Exobox Technologies Corp. | Electronic computer system secured from unauthorized access to and manipulation of data |
US20060085850A1 (en) * | 2004-10-14 | 2006-04-20 | Microsoft Corporation | System and methods for providing network quarantine using IPsec |
KR100628317B1 (ko) * | 2004-12-03 | 2006-09-27 | 한국전자통신연구원 | 네트워크 공격 상황 탐지 장치 및 그 방법 |
FI20041681A0 (fi) * | 2004-12-29 | 2004-12-29 | Nokia Corp | Liikenteen rajoittaminen kommunikaatiojärjestelmissä |
US8161554B2 (en) * | 2005-04-26 | 2012-04-17 | Cisco Technology, Inc. | System and method for detection and mitigation of network worms |
JP4559295B2 (ja) * | 2005-05-17 | 2010-10-06 | 株式会社エヌ・ティ・ティ・ドコモ | データ通信システム及びデータ通信方法 |
US20060282525A1 (en) * | 2005-06-10 | 2006-12-14 | Giles James R | Method and apparatus for delegating responses to conditions in computing systems |
US20060288417A1 (en) * | 2005-06-21 | 2006-12-21 | Sbc Knowledge Ventures Lp | Method and apparatus for mitigating the effects of malicious software in a communication network |
US20060294596A1 (en) * | 2005-06-27 | 2006-12-28 | Priya Govindarajan | Methods, systems, and apparatus to detect unauthorized resource accesses |
GB0513375D0 (en) | 2005-06-30 | 2005-08-03 | Retento Ltd | Computer security |
US20070006300A1 (en) * | 2005-07-01 | 2007-01-04 | Shay Zamir | Method and system for detecting a malicious packed executable |
US8549639B2 (en) | 2005-08-16 | 2013-10-01 | At&T Intellectual Property I, L.P. | Method and apparatus for diagnosing and mitigating malicious events in a communication network |
US7624447B1 (en) | 2005-09-08 | 2009-11-24 | Cisco Technology, Inc. | Using threshold lists for worm detection |
JP4754922B2 (ja) * | 2005-09-30 | 2011-08-24 | 富士通株式会社 | ワーム感染装置の検出装置 |
US7526677B2 (en) * | 2005-10-31 | 2009-04-28 | Microsoft Corporation | Fragility handling |
US7827545B2 (en) * | 2005-12-15 | 2010-11-02 | Microsoft Corporation | Dynamic remediation of a client computer seeking access to a network with a quarantine enforcement policy |
AU2006100099A4 (en) * | 2006-02-08 | 2006-03-16 | Pc Tools Technology Pty Limited | Automated Threat Analysis System |
KR100791290B1 (ko) * | 2006-02-10 | 2008-01-04 | 삼성전자주식회사 | 디바이스 간에 악성 어플리케이션의 행위 정보를 사용하는장치 및 방법 |
US20070198525A1 (en) * | 2006-02-13 | 2007-08-23 | Microsoft Corporation | Computer system with update-based quarantine |
US8443354B1 (en) * | 2006-03-29 | 2013-05-14 | Symantec Corporation | Detecting new or modified portions of code |
US7930727B1 (en) * | 2006-03-30 | 2011-04-19 | Emc Corporation | System and method for measuring and enforcing security policy compliance for software during the development process of the software |
US7793096B2 (en) * | 2006-03-31 | 2010-09-07 | Microsoft Corporation | Network access protection |
WO2008079103A2 (en) * | 2006-05-18 | 2008-07-03 | Cisco Technology, Inc. | System and method for detection and mitigation of network worms |
US7779465B2 (en) * | 2006-05-26 | 2010-08-17 | Microsoft Corporation | Distributed peer attack alerting |
JP2008165601A (ja) * | 2006-12-28 | 2008-07-17 | Secure Ware:Kk | 通信監視システム、通信監視装置、及び通信制御装置 |
US8220049B2 (en) * | 2006-12-28 | 2012-07-10 | Intel Corporation | Hardware-based detection and containment of an infected host computing device |
US7720965B2 (en) * | 2007-04-23 | 2010-05-18 | Microsoft Corporation | Client health validation using historical data |
US9225684B2 (en) | 2007-10-29 | 2015-12-29 | Microsoft Technology Licensing, Llc | Controlling network access |
US8370937B2 (en) * | 2007-12-03 | 2013-02-05 | Cisco Technology, Inc. | Handling of DDoS attacks from NAT or proxy devices |
KR100977365B1 (ko) * | 2007-12-20 | 2010-08-20 | 삼성에스디에스 주식회사 | 바이러스 및 네트워크 공격에 대한 자기 방어 기능을 갖는모바일 디바이스 및 이를 이용한 자기 방어 방법 |
US8266518B2 (en) * | 2008-01-16 | 2012-09-11 | Raytheon Company | Anti-tamper process toolset |
US8775333B1 (en) * | 2008-08-20 | 2014-07-08 | Symantec Corporation | Systems and methods for generating a threat classifier to determine a malicious process |
US9256737B2 (en) | 2008-08-26 | 2016-02-09 | International Business Machines Corporation | System and method for triggering and performing scans to protect virtual environments |
US20100138575A1 (en) * | 2008-12-01 | 2010-06-03 | Micron Technology, Inc. | Devices, systems, and methods to synchronize simultaneous dma parallel processing of a single data stream by multiple devices |
US20100174887A1 (en) | 2009-01-07 | 2010-07-08 | Micron Technology Inc. | Buses for Pattern-Recognition Processors |
US8621626B2 (en) * | 2009-05-01 | 2013-12-31 | Mcafee, Inc. | Detection of code execution exploits |
WO2011022104A1 (en) * | 2009-08-19 | 2011-02-24 | Opanga Networks, Inc. | Optimizing channel resources by coordinating data transfers based on data type and traffic |
US9785909B2 (en) * | 2009-08-27 | 2017-10-10 | International Business Machines Corporation | Preventing propagation of malicious content in a virtual universe |
US8607353B2 (en) * | 2010-07-29 | 2013-12-10 | Accenture Global Services Gmbh | System and method for performing threat assessments using situational awareness |
TWI419003B (zh) * | 2010-11-12 | 2013-12-11 | Univ Nat Chiao Tung | 自動化分析與分類惡意程式之方法及系統 |
US9413721B2 (en) | 2011-02-15 | 2016-08-09 | Webroot Inc. | Methods and apparatus for dealing with malware |
CN102930210B (zh) * | 2012-10-14 | 2015-11-25 | 江苏金陵科技集团有限公司 | 恶意程序行为自动化分析、检测与分类***及方法 |
US9117072B2 (en) * | 2012-10-28 | 2015-08-25 | Google Inc. | Software exploit detection |
CN103916365B (zh) * | 2012-12-31 | 2018-09-11 | 西门子公司 | 导出和验证恶意代码的网络行为特征的方法和装置 |
KR101398852B1 (ko) | 2013-02-13 | 2014-06-27 | 주식회사 잉카인터넷 | 스크립트를 이용한 멀웨어 치료 시스템 및 방법 |
WO2014128256A1 (en) * | 2013-02-22 | 2014-08-28 | Adaptive Mobile Security Limited | Network security system and method |
US10033751B2 (en) * | 2013-02-22 | 2018-07-24 | Adaptive Mobile Security Limited | Dynamic traffic steering system and method in a network |
WO2014128253A1 (en) | 2013-02-22 | 2014-08-28 | Adaptive Mobile Security Limited | System and method for embedded mobile (em)/machine to machine (m2m) security, pattern detection, mitigation |
US10127379B2 (en) | 2013-03-13 | 2018-11-13 | Mcafee, Llc | Profiling code execution |
US9288219B2 (en) | 2013-08-02 | 2016-03-15 | Globalfoundries Inc. | Data protection in a networked computing environment |
US20150074808A1 (en) * | 2013-09-06 | 2015-03-12 | Triumfant, Inc. | Rootkit Detection in a Computer Network |
US20150350208A1 (en) * | 2014-05-27 | 2015-12-03 | Turgut BAYRAMKUL | Token server-based system and methodology providing user authentication and verification for online secured systems |
US9886577B2 (en) | 2014-09-26 | 2018-02-06 | Mcafee, Llc | Detection and mitigation of malicious invocation of sensitive code |
US11120106B2 (en) * | 2016-07-30 | 2021-09-14 | Endgame, Inc. | Hardware—assisted system and method for detecting and analyzing system calls made to an operating system kernel |
US10419475B2 (en) | 2016-10-03 | 2019-09-17 | Telepathy Labs, Inc. | System and method for social engineering identification and alerting |
US10542018B1 (en) * | 2016-12-27 | 2020-01-21 | Wells Fargo Bank, N.A. | Security breach notification |
US10685284B2 (en) * | 2017-04-03 | 2020-06-16 | Royal Bank Of Canada | Systems and methods for malicious code detection |
US11151247B2 (en) | 2017-07-13 | 2021-10-19 | Endgame, Inc. | System and method for detecting malware injected into memory of a computing device |
US11151251B2 (en) | 2017-07-13 | 2021-10-19 | Endgame, Inc. | System and method for validating in-memory integrity of executable files to identify malicious activity |
US10873589B2 (en) | 2017-08-08 | 2020-12-22 | Sonicwall Inc. | Real-time prevention of malicious content via dynamic analysis |
US10635813B2 (en) | 2017-10-06 | 2020-04-28 | Sophos Limited | Methods and apparatus for using machine learning on multiple file fragments to identify malware |
US11151252B2 (en) | 2017-10-13 | 2021-10-19 | Sonicwall Inc. | Just in time memory analysis for malware detection |
US10685110B2 (en) | 2017-12-29 | 2020-06-16 | Sonicwall Inc. | Detection of exploitative program code |
US10681073B2 (en) | 2018-01-02 | 2020-06-09 | International Business Machines Corporation | Detecting unauthorized user actions |
WO2019145912A1 (en) | 2018-01-26 | 2019-08-01 | Sophos Limited | Methods and apparatus for detection of malicious documents using machine learning |
US10764309B2 (en) | 2018-01-31 | 2020-09-01 | Palo Alto Networks, Inc. | Context profiling for malware detection |
US11159538B2 (en) | 2018-01-31 | 2021-10-26 | Palo Alto Networks, Inc. | Context for malware forensics and detection |
US11941491B2 (en) | 2018-01-31 | 2024-03-26 | Sophos Limited | Methods and apparatus for identifying an impact of a portion of a file on machine learning classification of malicious content |
CN112005234A (zh) * | 2018-01-31 | 2020-11-27 | 帕洛阿尔托网络公司 | 恶意软件检测的上下文剖析 |
US11270205B2 (en) | 2018-02-28 | 2022-03-08 | Sophos Limited | Methods and apparatus for identifying the shared importance of multiple nodes within a machine learning model for multiple tasks |
US11232201B2 (en) * | 2018-05-14 | 2022-01-25 | Sonicwall Inc. | Cloud based just in time memory analysis for malware detection |
US11120131B2 (en) * | 2018-07-30 | 2021-09-14 | Rubrik, Inc. | Ransomware infection detection in filesystems |
US11947668B2 (en) | 2018-10-12 | 2024-04-02 | Sophos Limited | Methods and apparatus for preserving information between layers within a neural network |
EP3903213A1 (en) * | 2018-12-27 | 2021-11-03 | British Telecommunications public limited company | Threat forecasting |
US11574052B2 (en) | 2019-01-31 | 2023-02-07 | Sophos Limited | Methods and apparatus for using machine learning to detect potentially malicious obfuscated scripts |
KR20210081156A (ko) * | 2019-12-23 | 2021-07-01 | 삼성전자주식회사 | 전자 장치 및 그 제어 방법 |
CN111260059B (zh) * | 2020-01-23 | 2023-06-02 | 复旦大学 | 视频分析神经网络模型的后门攻击方法 |
US11956212B2 (en) | 2021-03-31 | 2024-04-09 | Palo Alto Networks, Inc. | IoT device application workload capture |
US12010129B2 (en) | 2021-04-23 | 2024-06-11 | Sophos Limited | Methods and apparatus for using machine learning to classify malicious infrastructure |
Family Cites Families (17)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5414833A (en) * | 1993-10-27 | 1995-05-09 | International Business Machines Corporation | Network security system and method using a parallel finite state machine adaptive active monitor and responder |
US6088804A (en) * | 1998-01-12 | 2000-07-11 | Motorola, Inc. | Adaptive system and method for responding to computer network security attacks |
US6279113B1 (en) * | 1998-03-16 | 2001-08-21 | Internet Tools, Inc. | Dynamic signature inspection-based network intrusion detection |
US6321338B1 (en) * | 1998-11-09 | 2001-11-20 | Sri International | Network surveillance |
US6487666B1 (en) * | 1999-01-15 | 2002-11-26 | Cisco Technology, Inc. | Intrusion detection signature analysis using regular expressions and logical operators |
US6725377B1 (en) * | 1999-03-12 | 2004-04-20 | Networks Associates Technology, Inc. | Method and system for updating anti-intrusion software |
US6789202B1 (en) * | 1999-10-15 | 2004-09-07 | Networks Associates Technology, Inc. | Method and apparatus for providing a policy-driven intrusion detection system |
US7127743B1 (en) * | 2000-06-23 | 2006-10-24 | Netforensics, Inc. | Comprehensive security structure platform for network managers |
US7093239B1 (en) * | 2000-07-14 | 2006-08-15 | Internet Security Systems, Inc. | Computer immune system and method for detecting unwanted code in a computer system |
US6910134B1 (en) * | 2000-08-29 | 2005-06-21 | Netrake Corporation | Method and device for innoculating email infected with a virus |
US20030140253A1 (en) * | 2001-11-16 | 2003-07-24 | Mark Crosbie | Method of and apparatus for detecting creation of set user identification (setuid) files, and computer program for enabling such detection |
US6892227B1 (en) * | 2001-12-21 | 2005-05-10 | Networks Associates Technology, Inc. | Enterprise network analyzer host controller/zone controller interface system and method |
US6714513B1 (en) * | 2001-12-21 | 2004-03-30 | Networks Associates Technology, Inc. | Enterprise network analyzer agent system and method |
US7269851B2 (en) * | 2002-01-07 | 2007-09-11 | Mcafee, Inc. | Managing malware protection upon a computer network |
US7174566B2 (en) * | 2002-02-01 | 2007-02-06 | Intel Corporation | Integrated network intrusion detection |
US20030163729A1 (en) * | 2002-02-27 | 2003-08-28 | International Business Machines Corporation | Security management in data processing networks |
US20030188189A1 (en) * | 2002-03-27 | 2003-10-02 | Desai Anish P. | Multi-level and multi-platform intrusion detection and response system |
-
2003
- 2003-04-15 US US10/414,117 patent/US7934103B2/en not_active Expired - Fee Related
- 2003-04-15 CA CA002480475A patent/CA2480475A1/en not_active Abandoned
- 2003-04-15 BR BR0309288-7A patent/BR0309288A/pt not_active Application Discontinuation
- 2003-04-15 WO PCT/US2003/011824 patent/WO2003090426A1/en active Application Filing
- 2003-04-15 DE DE60332448T patent/DE60332448D1/de not_active Expired - Lifetime
- 2003-04-15 CN CNA038084031A patent/CN1647483A/zh active Pending
- 2003-04-15 AU AU2003223656A patent/AU2003223656A1/en not_active Abandoned
- 2003-04-15 AT AT03719797T patent/ATE467297T1/de not_active IP Right Cessation
- 2003-04-15 KR KR10-2004-7016497A patent/KR20040101490A/ko not_active Application Discontinuation
- 2003-04-15 JP JP2003587076A patent/JP2005523539A/ja active Pending
- 2003-04-15 EP EP03719797A patent/EP1495616B1/en not_active Expired - Lifetime
-
2004
- 2004-10-14 IL IL16460904A patent/IL164609A0/xx unknown
Cited By (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102272714A (zh) * | 2009-01-07 | 2011-12-07 | 美光科技公司 | 具有匹配数据报告模块的型式辨识处理器 |
CN102272714B (zh) * | 2009-01-07 | 2015-07-01 | 美光科技公司 | 具有匹配数据报告模块的型式辨识处理器 |
CN107211014A (zh) * | 2014-12-23 | 2017-09-26 | 迈克菲公司 | 使用数据交换层***的事件响应工具 |
CN107211014B (zh) * | 2014-12-23 | 2021-10-29 | 迈克菲公司 | 用于事件响应工具的***和方法及计算机可读介质 |
CN109246072A (zh) * | 2017-07-11 | 2019-01-18 | 波音公司 | 具有自适应机器学习特征的网络安全*** |
CN109246072B (zh) * | 2017-07-11 | 2023-06-16 | 波音公司 | 用于网络安全的***、方法和计算机可读介质 |
Also Published As
Publication number | Publication date |
---|---|
US7934103B2 (en) | 2011-04-26 |
WO2003090426A1 (en) | 2003-10-30 |
US20030200464A1 (en) | 2003-10-23 |
AU2003223656A1 (en) | 2003-11-03 |
ATE467297T1 (de) | 2010-05-15 |
EP1495616A1 (en) | 2005-01-12 |
EP1495616B1 (en) | 2010-05-05 |
JP2005523539A (ja) | 2005-08-04 |
BR0309288A (pt) | 2005-02-09 |
IL164609A0 (en) | 2005-12-18 |
CA2480475A1 (en) | 2003-10-30 |
DE60332448D1 (de) | 2010-06-17 |
KR20040101490A (ko) | 2004-12-02 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN1647483A (zh) | 检测和反击企业网络中的恶意代码 | |
CN1841397B (zh) | 聚合计算机***的知识库以主动保护计算机免受恶意软件侵害 | |
Bhattacharyya et al. | Met: An experimental system for malicious email tracking | |
US8775333B1 (en) | Systems and methods for generating a threat classifier to determine a malicious process | |
US20190020672A1 (en) | System and methods for detecting malicious email transmission | |
US8578490B2 (en) | System and method for using timestamps to detect attacks | |
US6996843B1 (en) | System and method for detecting computer intrusions | |
US7085936B1 (en) | System and method for using login correlations to detect intrusions | |
Jones et al. | Computer system intrusion detection: A survey | |
US10997307B1 (en) | System and method for clustering files and assigning a property based on clustering | |
CN102160048B (zh) | 收集和分析恶意软件数据 | |
US11882140B1 (en) | System and method for detecting repetitive cybersecurity attacks constituting an email campaign | |
US20040111632A1 (en) | System and method of virus containment in computer networks | |
US20030084328A1 (en) | Method and computer-readable medium for integrating a decode engine with an intrusion detection system | |
WO2001017162A1 (en) | Extensible intrusion detection system | |
CA2545916A1 (en) | Apparatus method and medium for detecting payload anomaly using n-gram distribution of normal data | |
CN1871612A (zh) | 适于病毒防护的网络隔离技术 | |
CN103493061A (zh) | 用于应对恶意软件的方法和装置 | |
Vidal et al. | Alert correlation framework for malware detection by anomaly-based packet payload analysis | |
CN204669399U (zh) | 基于Hadoop架构的网络病毒和威胁监测*** | |
Ezzati-Jivan et al. | A stateful approach to generate synthetic events from kernel traces | |
Xie et al. | Seurat: A pointillist approach to anomaly detection | |
Tahan et al. | Auto-sign: an automatic signature generator for high-speed malware filtering devices | |
CN1838671A (zh) | 用于操作数据处理***的方法和用于处理无线通信的设备 | |
US20240056475A1 (en) | Techniques for detecting living-off-the-land binary attacks |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C02 | Deemed withdrawal of patent application after publication (patent law 2001) | ||
WD01 | Invention patent application deemed withdrawn after publication |