CN1697404A - 一种交互式的网络蠕虫检测***和方法 - Google Patents
一种交互式的网络蠕虫检测***和方法 Download PDFInfo
- Publication number
- CN1697404A CN1697404A CNA2005100753416A CN200510075341A CN1697404A CN 1697404 A CN1697404 A CN 1697404A CN A2005100753416 A CNA2005100753416 A CN A2005100753416A CN 200510075341 A CN200510075341 A CN 200510075341A CN 1697404 A CN1697404 A CN 1697404A
- Authority
- CN
- China
- Prior art keywords
- network
- terminal
- worm
- network worm
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
一种分布式的网络蠕虫检测***,由分布式设置在网络***中各个终端的网络流量采集单元和设置在服务器中的网络蠕虫分析单元组成;其中前者实时采集该终端的进出数据流量信息,并对这些数据进行快照和标准化处理后,传递给网络蠕虫分析单元,以及在其请求下,提交可疑网络蠕虫的攻击样本和终端基本状态信息;后者对网络流量采集单元所提供的流量数据进行统计和分析,根据流量阈值判断该终端是否可能遭到蠕虫攻击或者成为攻击源;再根据判断结果,与流量采集单元进行交互,请求提交攻击样本数据和终端基本状态信息,以便进行查询匹配,发现网络蠕虫和判断该终端是否成为攻击源,同时告警。该方法及时发现和识别网络蠕虫的攻击并告警,保证网络安全。
Description
技术领域
本发明涉及一种用于计算机网络的安全检测***和方法。确切地说,涉及一种交互式的网络蠕虫检测***和方法,属于数据通信中的网络设备安全
技术领域。
背景技术
随着计算机网络的迅速普及和各种网络新业务的不断兴起,网络安全问题已经逐渐渗透到社会生活的各个领域,并且变得越来越严峻。网络蠕虫是无须计算机使用者干预即可运行的独立程序,它通过不停地获得网络中存在漏洞的计算机上的部分或全部控制权来进行传播。蠕虫与病毒的最大不同是它不需要人为干预,且能够自主不断地复制和传播。每一次网络蠕虫的爆发都会给社会带来巨大的损失。例如1988年11月2日,Morris蠕虫发作,几天之内6000台以上的互联网服务器被感染而瘫痪,损失超过一千万美元。2001年7月19日,CodeRed网络蠕虫爆发,在爆发后的9小时内就攻击了25万台计算机,造成的损失估计超过20亿美元。随后几个月内产生了威力更强的几个变种,其中CodeRedII造成的损失估计超过12亿美元。2001年9月18日被发现的Nimda网络蠕虫,其所造成的损失评估数据已经从5亿美元攀升到26亿美元,而且后来继续攀升,至今已经无法估计。目前蠕虫爆发的频率越来越快,尤其近两年来,出现了越来越多的网络蠕虫(如冲击波、振荡波等网络蠕虫),因此,迫切需要一种有效的检测手段及时发现网络蠕虫的攻击行为,并采取相应措施遏制蠕虫攻击的蔓延。综上所述,网络蠕虫检测成为网络蠕虫防治的重要环节之一。
目前,网络蠕虫的检测***主要有两种类型:
(1)由入侵检测***(IDS,Intrusion Detection System)承担。这类检测***的工作方式有二种:
基于网络的IDS,它需要将所有的流量镜像到IDS***中,然后对IP数据包进行分析和特征匹配,以发现包括网络蠕虫的各种网络攻击。由于这种***需要在网络设备上做流量镜像处理,增加了网络设备的负担,同时目前网络型的IDS还没有建立与受攻击主机的交互机制,存在一定的误报;
基于主机的IDS,它需要捕捉主机***网卡的所有IP数据包,并在本机上根据网络攻击特征数据库对攻击进行匹配分析,由于这种***需要对所有进出主机的数据包进行处理和分析,大大增加了主机***的负担,造成主机***运行效率降低。
(2)由异常流量检测***承担。目前这类***主要依赖网络设备提供IP数据包的快照(Snapshot)来实现(例如Cisco的网络流技术Netflow),这类***先收集网络设备的数据进行统计和分析,再根据一定阈值来判断是否存在有网络蠕虫攻击。这类***一方面打开网络设备的数据包快照功能会对网络设备造成一定的负担,同时也不是所有的网络设备都能够提供IP数据包的快照功能,使得该类***的应用有一定局限性;另一方面由于该类***缺乏与受攻击主机***的交互,仅仅只能从流量大小的变化来判断网络蠕虫的攻击,不能根据受攻击主机***的状态以及对攻击数据包进行特征匹配来确认攻击的存在,所以,这类***也存在一定的误报问题。
综上所述,现有的网络蠕虫检测方法,或者对网络设备、主机***造成了一定的负担,影响设备运行的效率,或者由于与受攻击主机缺乏必要的信息交互而存在一定的误报问题,因此如何对网络蠕虫检测***和方法进行必要的改进,就成为业内人士研究、开发的新课题。
发明内容
本发明的目的是提供一种交互式的网络蠕虫检测***和方法,以便解决现有的网络蠕虫检测所存在的技术问题,及时发现和识别网络蠕虫的攻击行为,并发布告警,引起安全管理员的密切注意和采取相应处理措施,保证网络安全。
为了达到上述目的,本发明提供了一种分布式的网络蠕虫检测***,其特征在于:该***包括下列组件:
网络流量采集单元,分布式地设置在网络***中需要保护的各个终端设备中,负责实时采集流入和流出其所安装的终端设备的数据流量信息,并对这些数据报头进行快照处理,提取报头中的相关信息和进行标准化处理,再通过传输控制协议TCP/互联网协议IP中的TCP协议将本机网络流量的快照信息传递给网络蠕虫分析单元进行统计和分析;并在网络蠕虫分析单元的请求下,通过TCP/IP的TCP协议向其提交可疑网络蠕虫的攻击样本和该终端的基本状态信息;
网络蠕虫分析单元,设置在高性能的服务器中,负责对网络流量采集单元所提供的流量数据进行基于统计的分析和基于特征匹配的分析,并根据设定的网络流量阈值,判断该终端设备是否有可能遭到网络蠕虫攻击,或者成为网络蠕虫的攻击源;再根据判断的结果,与网络流量采集单元进行交互,请求该单元在链式用户扩展数据中向其提交网络蠕虫攻击样本数据和该终端的基本状态信息,以便与数据库中存储的网络蠕虫特征量进行查询匹配,发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否已经成为网络蠕虫的攻击源,同时发出告警。
所述网络***中需要保护的终端设备包括但不限于PC主机、服务器、手机、或IP网络的其它终端设备。
所述网络流量采集单元是利用数据包捕捉程序实时采集流入和流出其所安装的终端设备的流量信息
所述网络流量采集单元提取的流量信息和进行标准化的信息内容至少包括:源IP地址、目的IP地址、源端口、目的端口、协议类型、数据流流向、数据流个数、链式用户扩展数据。
所述终端的基本状态信息包括但不限于操作***类型、操作***的版本信息、操作信息补丁信息、操作***开放的网络服务端口信息;该信息是通过读取终端操作***的配置文件和状态文件获得的,以供网络蠕虫分析单元藉此分析该终端的操作***是否与网络蠕虫攻击对象的特征参数吻合,是否可能成为网络蠕虫的攻击源头。
为了达到上述目的,本发明还提供了一种分布式的网络蠕虫检测***的检测方法,其特征在于:包含步骤如下:
(1)网络流量采集单元采集需要保护的终端设备的进出数据流量信息,并将该流量信息标准化处理后,传送给网络蠕虫分析单元进行统计和分析;还在网络蠕虫分析单元的请求下,向其提交可疑的网络蠕虫攻击样本和该终端的基本状态信息;
(2)网络蠕虫分析单元根据网络流量采集单元所提供的流量数据对其所在的终端设备的流量进行基于统计的分析和基于特征匹配的分析,根据设定的阈值,判断该终端是否有可能遭到网络蠕虫攻击或者已经成为网络蠕虫的攻击源;再在网络蠕虫分析算法的要求下,与网络流量采集单元进行交互,请求该单元向其提交网络蠕虫攻击样本数据和该终端的基本状态信息后,与数据库中存储的网络蠕虫特征量进行查询匹配,发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否成为网络蠕虫的攻击源,同时发出告警。
所述步骤(1)进一步包括下列操作:
(11)启动数据捕捉程序;
(12)当捕捉到数据包后,在缓冲区内搜索源IP地址、目的IP地址、源端口、目的端口、协议类型和流量流向都相同的数据流,对这些特征相同的数据流进行合并,将其作为一个数据流来处理;
(13)将数据报头按照流量信息标准格式写入数据包缓冲区中;
(14)定时向网络蠕虫分析单元提交缓冲区数据;
(15)根据网络蠕虫分析单元的请求提交攻击样本和该终端的基本状态信息。
所述步骤(1)进一步包括下列初始化操作:
(10)在每次采集数据之前,要对数据包捕捉程序进行初始化、清空数据包缓存区和开启定时器。
所述步骤(2)进一步包括下列操作:
(21)接收到网络流量采集单元的数据时,对单位时间内进出该终端设备的数据流进行统计;
(22)根据各个数据流的统计参数所设置的阈值,判断该终端设备是否有流量信息超过了阈值,以决定是否请求该终端设备提交攻击样本和该终端的基本状态信息;
(23)在接收到终端设备提交的攻击样本和该终端的基本状态信息后,根据数据库内存储的已知网络蠕虫特征信息,对样本进行查询匹配,发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否已经成为网络蠕虫的攻击源,同时发出告警。
所述步骤(2)进一步包括下列初始化操作:
(20)设置数据流的流量阈值。
本发明是一种交互式的网络蠕虫检测***,该***由分布式安装在受保护的各个网络终端设备中的网络流量采集单元和安装在高性能服务器中的交互式网络蠕虫分析单元组成。网络流量采集单元进行分布式的多点检测,利用数据包捕捉程序实时采集流入和流出该终端设备的流量信息,并对数据报头进行快照处理。与在终端中安装IDS***相比较,该***对终端的性能影响较小;与基于网络设备流量监控的方式(例如基于Netflow监控技术)相比较,具有良好的通用性和适用性,并将监控的范围由网络设备延伸到了各个终端上,拓宽了***检测和应用的领域。此外,网络蠕虫分析单元与网络流量采集单元之间采用交互方式通过TCP/IP的TCP协议进行通信:网络蠕虫分析单元对接收的网络流量快照信息进行统计和分析,并在必要时对网络流量采集单元发出提交可疑网络蠕虫攻击样本和该终端的基本状态信息的请求。这种由终端设备直接提交攻击样本和该终端的基本状态信息,以便进行特征匹配来确认攻击的方式,不仅提高了对网络蠕虫攻击分析和判断的效率,而且也提高了准确性,较好地避免了现有技术中存在的误报问题。
附图说明
图1是本发明交互式的网络蠕虫检测***的检测方法流程图。
图2是网络流量采集单元对数据报头进行标准化处理的格式示意图。
图3是本发明***中的网络流量采集单元实施例的操作流程图。
图4是本发明***中的网络蠕虫分析单元实施例的操作流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚,下面结合附图对本发明作进一步的详细描述。
网络蠕虫进行攻击时,具备一定的行为特征,通常会先对本网络段的计算机***进行扫描,探测与蠕虫攻击相关的***漏洞是否存在。网络蠕虫攻击的对象多为终端设备,包括PC主机和服务器主机。基于网络蠕虫的这个行为特征,本发明***采用在各个终端设备上分布式安装网络流量采集单元,进行多点检测,并将流量信息集中送到位于高性能服务器中的网络蠕虫分析单元进行基于统计的分析和基于特征匹配的分析,在发现某些计算机或服务器在一段时间内收到或者发送特定的数据报超过一定阈值时,可判断该计算机或服务器可能已经受到网络蠕虫的攻击或者已经成为蠕虫攻击的源头。此时,为了进一步确认,本发明的网络蠕虫分析单元与网络流量采集单元进行交互,请求该计算机或服务器作为终端设备提交攻击样本以及该终端的基本状态信息,以确认网络蠕虫的具体类型和发出告警。这里的基本状态信息包括但不限于操作***类型、操作***的版本信息、操作信息补丁信息、操作***开放的网络服务端口信息等。因为网络蠕虫的攻击对象一般是针对特定的某些操作***(网络蠕虫特征数据库中有其攻击对象的特征数据),在判断该终端是否成为网络蠕虫的攻击源头时,应该先查看该终端的基本状态信息,看看是否与网络蠕虫攻击对象的特征参数吻合,这样判断才能比较准确。另外,通过读取该终端操作***的配置文件及状态文件可以很容易地获得这些基本状态信息。
参见图1,介绍本发明分布式的网络蠕虫检测***的检测方法,它是由网络流量采集单元和网络蠕虫分析单元进行交互、配合共同完成的,具体步骤是:
(1)网络流量采集单元启动数据捕捉程序,采集需要保护的终端设备的进出数据流量信息;
(2)当捕捉到数据包后,在缓冲区内搜索源IP地址、目的IP地址、源端口、目的端口、协议类型和流量流向都相同的数据流,合并这些特征相同的数据流,作为一个数据流进行标准化处理,并将其按照流量信息标准格式(参见图2)写入数据包缓冲区中;
(3)网络流量采集单元定时向网络蠕虫分析单元提交标准化的流量数据;
(4)网络流量采集单元根据网络蠕虫分析单元的请求,向其提交网络蠕虫攻击样本和该终端的基本状态信息;
(5)交互式的网络蠕虫分析单元接收到网络流量采集单元的数据后,对在单位时间内进出该终端的数据流情况进行统计和分析;
(6)根据各个数据流统计参数所设置的阈值,判断该终端是否有流量信息超过了阈值,决定是否请求该终端提交攻击样本和该终端的基本状态信息;
(7)在接收到终端设备提交的攻击样本和该终端的基本状态信息后,根据数据库内存储的已知网络蠕虫特征信息,对样本进行查询匹配,决定是否发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否已经成为网络蠕虫的攻击源,同时发布告警。
下面结合两个实施例,分别说明本发明***两个组件的具体操作的流程:
参见图3,先介绍其中网络流量采集单元的操作流程,其实现步骤如下:
(301)初始化数据包捕捉程序,数据包缓冲区清空,开启定时器;
(302)当捕捉到第一个数据包后,将数据报头按照流量信息标准格式写入数据包缓冲区中;
(303)当捕捉到下一数据时,先扫描数据包缓冲区,查找是否有相同数据报信息,如果有,则进行合并处理,将数据流个数加1;如果没有,则在缓冲区中增加该数据流信息,并按照流量信息标准格式写入数据包缓冲区中;其中所谓流量相同的数据报的判断依据是源IP地址、目的IP地址、源端口、目的端口、协议类型、数据流流向是否完全一致;
(304)判断定时器是否到达设定时间,当定时器到达设定时间时,则向交互式网络蠕虫分析单元提交该设定时间内所采集的数据;然后将数据包缓冲区重新清空,重新开启定时器;返回步骤(302),继续进行新一轮的数据采集;
(305)当接收到交互式的网络蠕虫分析单元请求提交攻击样本和该终端的基本状态信息时,根据其申请的要求,捕捉该类数据包,并添加到流量信息标准化格式数据包中,通过TCP/IP的TCP协议发送给交互式的网络蠕虫分析单元。
参见图4,再介绍其中网络蠕虫分析单元的操作流程,其实现步骤如下:
(401)定义数据流量阈值,该流量阈值为经验性数据,需要根据实际网络的环境进行调整;通常定义如下条件:5分钟内,进出主机***的TCP数据流的个数不超过200个、UDP数据流个数不超过80个、ICMP数据流个数不超过50个;
(402)接收网络流量采集单元的数据,并写入数据库,数据库表格式为序号、时间戳、源IP地址、目的IP地址、源端口、目的端口、协议类型、数据流流向、数据流个数;
(403)调用数据库查询和统计功能,统计在设定时间内,进出该主机的TCP数据流个数、UDP数据流个数、ICMP数据流个数;
(404)根据数据库查询统计的结果,与事先定义的流量阈值进行比较,判断该主机有哪些参数超过了阈值,如果超过了阈值,则通过TCP/IP的TCP协议向该主机提出样本申请,将超过阈值流量的数据流特征,包括源IP地址、目的IP地址、协议类型、源端口、目的端口、流量流向等信息作为流量样本的申请条件,同时要求提供该终端的基本状态信息;
(405)在接收到主机提交的攻击样本和该主机的基本状态信息时,查询已知网络蠕虫的特征数据库,对样本进行匹配,判断是否存在网络蠕虫攻击,再根据该主机的基本状态信息判断其是否已经成为网络蠕虫的攻击源,同时根据判断结果,决定是否发布告警。
Claims (10)
1、一种分布式的网络蠕虫检测***,其特征在于:该***包括下列组件:
网络流量采集单元,分布式地设置在网络***中需要保护的各个终端设备中,负责实时采集流入和流出其所安装的终端设备的数据流量信息,并对这些数据报头进行快照处理,提取报头中的相关信息和进行标准化处理,再通过传输控制协议TCP/互联网协议IP中的TCP协议将本机网络流量的快照信息传递给网络蠕虫分析单元进行统计和分析;并在网络蠕虫分析单元的请求下,通过TCP/IP的TCP协议向其提交可疑网络蠕虫的攻击样本和该终端的基本状态信息;
网络蠕虫分析单元,设置在高性能的服务器中,负责对网络流量采集单元所提供的流量数据进行基于统计的分析和基于特征匹配的分析,并根据设定的网络流量阈值,判断该终端设备是否有可能遭到网络蠕虫攻击,或者成为网络蠕虫的攻击源;再根据判断的结果,与网络流量采集单元进行交互,请求该单元在链式用户扩展数据中向其提交网络蠕虫攻击样本数据和该终端的基本状态信息,以便与数据库中存储的网络蠕虫特征量进行查询匹配,发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否已经成为网络蠕虫的攻击源,同时发出告警。
2、根据权利要求1所述的分布式的网络蠕虫检测***,其特征在于:所述网络***中需要保护的终端设备包括但不限于PC主机、服务器、手机、或IP网络的其它终端设备。
3、根据权利要求1所述的分布式的网络蠕虫检测***,其特征在于:所述网络流量采集单元是利用数据包捕捉程序实时采集流入和流出其所安装的终端设备的流量信息。
4、根据权利要求1所述的分布式的网络蠕虫检测***,其特征在于:所述网络流量采集单元提取的流量信息和进行标准化的信息内容至少包括:源IP地址、目的IP地址、源端口、目的端口、协议类型、数据流流向、数据流个数、链式用户扩展数据。
5、根据权利要求1所述的分布式的网络蠕虫检测***,其特征在于:所述终端的基本状态信息包括但不限于操作***类型、操作***的版本信息、操作信息补丁信息、操作***开放的网络服务端口信息;该信息是通过读取终端操作***的配置文件和状态文件获得的,以供网络蠕虫分析单元藉此分析该终端的操作***是否与网络蠕虫攻击对象的特征参数吻合,是否可能成为网络蠕虫的攻击源头。
6、一种使用权利要求1所述的分布式的网络蠕虫检测***的检测方法,其特征在于:包含步骤如下:
(1)网络流量采集单元采集需要保护的终端设备的进出数据流量信息,并将该流量信息标准化处理后,传送给网络蠕虫分析单元进行统计和分析;还在网络蠕虫分析单元的请求下,向其提交可疑的网络蠕虫攻击样本和该终端的基本状态信息;
(2)网络蠕虫分析单元根据网络流量采集单元所提供的流量数据对其所在的终端设备的流量进行基于统计的分析和基于特征匹配的分析,根据设定的阈值,判断该终端是否有可能遭到网络蠕虫攻击或者已经成为网络蠕虫的攻击源;再在网络蠕虫分析算法的要求下,与网络流量采集单元进行交互,请求该单元向其提交网络蠕虫攻击样本数据和该终端的基本状态信息后,与数据库中存储的网络蠕虫特征量进行查询匹配,发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否成为网络蠕虫的攻击源,同时发出告警。
7、根据权利要求6所述的检测方法,其特征在于:所述步骤(1)进一步包括下列操作:
(11)启动数据捕捉程序;
(12)当捕捉到数据包后,在缓冲区内搜索源IP地址、目的IP地址、源端口、目的端口、协议类型和流量流向都相同的数据流,对这些特征相同的数据流进行合并,将其作为一个数据流来处理;
(13)将数据报头按照流量信息标准格式写入数据包缓冲区中;
(14)定时向网络蠕虫分析单元提交缓冲区数据;
(15)根据网络蠕虫分析单元的请求提交攻击样本和该终端的基本状态信息。
8、根据权利要求6或7所述的方法,其特征在于:所述步骤(1)进一步包括下列初始化操作:
(10)在每次采集数据之前,要对数据包捕捉程序进行初始化、清空数据包缓存区和开启定时器。
9、根据权利要求6所述的方法,其特征在于:所述步骤(2)进一步包括下列操作:
(21)接收到网络流量采集单元的数据时,对单位时间内进出该终端设备的数据流进行统计;
(22)根据各个数据流的统计参数所设置的阈值,判断该终端设备是否有流量信息超过了阈值,以决定是否请求该终端设备提交攻击样本和该终端基本状态信息;
(23)在接收到终端设备提交的攻击样本和该终端基本状态信息后,根据数据库内存储的已知网络蠕虫特征信息,对样本进行查询匹配,发现网络蠕虫,再根据该终端的基本状态信息判断该终端是否已经成为网络蠕虫的攻击源,同时发出告警。
10、根据权利要求6或9所述的方法,其特征在于:所述步骤(2)进一步包括下列初始化操作:
(20)设置数据流的流量阈值。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CNB2005100753416A CN1330131C (zh) | 2005-06-10 | 2005-06-10 | 一种交互式的网络蠕虫检测***和方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CNB2005100753416A CN1330131C (zh) | 2005-06-10 | 2005-06-10 | 一种交互式的网络蠕虫检测***和方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN1697404A true CN1697404A (zh) | 2005-11-16 |
CN1330131C CN1330131C (zh) | 2007-08-01 |
Family
ID=35349940
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CNB2005100753416A Expired - Fee Related CN1330131C (zh) | 2005-06-10 | 2005-06-10 | 一种交互式的网络蠕虫检测***和方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN1330131C (zh) |
Cited By (23)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN100377534C (zh) * | 2006-02-20 | 2008-03-26 | 华为技术有限公司 | 一种网络蠕虫检测***及方法 |
CN101227331B (zh) * | 2008-01-25 | 2010-06-09 | 华中科技大学 | 一种减少网络入侵检测***误告警方法 |
CN101068253B (zh) * | 2006-05-05 | 2010-11-24 | 美国博通公司 | 通信***、中间路由节点及其执行的方法 |
CN101383722B (zh) * | 2007-09-05 | 2011-04-06 | 大唐移动通信设备有限公司 | 一种时变量性能数据采集方法及装置 |
CN101355463B (zh) * | 2008-08-27 | 2011-04-20 | 成都市华为赛门铁克科技有限公司 | 网络攻击的判断方法、***和设备 |
CN101184094B (zh) * | 2007-12-06 | 2011-07-27 | 北京启明星辰信息技术股份有限公司 | 一种适于局域网环境的网络节点扫描检测方法和*** |
CN102413201A (zh) * | 2011-11-10 | 2012-04-11 | 上海牙木通讯技术有限公司 | 一种dns查询请求的处理方法及设备 |
CN102708313A (zh) * | 2012-03-08 | 2012-10-03 | 珠海市君天电子科技有限公司 | 针对大文件的病毒检测***及方法 |
CN101778011B (zh) * | 2009-12-31 | 2012-10-10 | 候万春 | 监视网络计算机终端通过互联网外传数据的方法 |
CN101589595B (zh) * | 2007-01-23 | 2013-04-24 | 阿尔卡特朗讯公司 | 用于潜在被污染端***的牵制机制 |
CN101895521B (zh) * | 2009-05-22 | 2013-09-04 | 中国科学院研究生院 | 一种网络蠕虫检测与特征自动提取方法及其*** |
CN103916376A (zh) * | 2013-01-09 | 2014-07-09 | 台达电子工业股份有限公司 | 具攻击防护机制的云端***及其防护方法 |
CN104539471A (zh) * | 2014-12-01 | 2015-04-22 | 北京百度网讯科技有限公司 | 带宽计量方法、装置和计算机设备 |
CN105007175A (zh) * | 2015-06-03 | 2015-10-28 | 北京云杉世纪网络科技有限公司 | 一种基于openflow的流深度关联分析方法及*** |
CN105207829A (zh) * | 2014-06-04 | 2015-12-30 | 腾讯科技(深圳)有限公司 | 一种入侵检测数据处理方法、装置,及*** |
CN105915516A (zh) * | 2016-04-15 | 2016-08-31 | 杭州华三通信技术有限公司 | 基于安全检测的数据流获取方法及装置 |
CN107277073A (zh) * | 2017-08-16 | 2017-10-20 | 北京新网数码信息技术有限公司 | 一种网络监控方法及装置 |
CN107332832A (zh) * | 2017-06-21 | 2017-11-07 | 北京东方棱镜科技有限公司 | 移动互联网分布式僵尸木马蠕虫检测方法和装置 |
WO2018019010A1 (zh) * | 2016-07-25 | 2018-02-01 | 中兴通讯股份有限公司 | 动态行为分析方法、装置、***及设备 |
CN108683681A (zh) * | 2018-06-01 | 2018-10-19 | 杭州安恒信息技术股份有限公司 | 一种基于流量策略的智能家居入侵检测方法及装置 |
CN112073209A (zh) * | 2019-06-10 | 2020-12-11 | 中兴通讯股份有限公司 | 一种数据包处理方法和装置 |
CN112615857A (zh) * | 2020-12-17 | 2021-04-06 | 杭州迪普科技股份有限公司 | 网络数据处理方法、装置与*** |
CN115396212A (zh) * | 2022-08-26 | 2022-11-25 | 国科华盾(北京)科技有限公司 | 检测模型的训练方法、装置、计算机设备和存储介质 |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7137145B2 (en) * | 2002-04-09 | 2006-11-14 | Cisco Technology, Inc. | System and method for detecting an infective element in a network environment |
CN1549126A (zh) * | 2003-05-16 | 2004-11-24 | 北京爱迪安网络技术有限公司 | 检测蠕虫病毒及延缓病毒传播的方法 |
US7596807B2 (en) * | 2003-07-03 | 2009-09-29 | Arbor Networks, Inc. | Method and system for reducing scope of self-propagating attack code in network |
CN1282331C (zh) * | 2003-10-21 | 2006-10-25 | 中兴通讯股份有限公司 | 一种实现异常流量控制的装置及方法 |
CN1322711C (zh) * | 2004-05-14 | 2007-06-20 | 清华大学 | 因特网蠕虫病毒的早期预警方法 |
-
2005
- 2005-06-10 CN CNB2005100753416A patent/CN1330131C/zh not_active Expired - Fee Related
Cited By (27)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN100377534C (zh) * | 2006-02-20 | 2008-03-26 | 华为技术有限公司 | 一种网络蠕虫检测***及方法 |
CN101068253B (zh) * | 2006-05-05 | 2010-11-24 | 美国博通公司 | 通信***、中间路由节点及其执行的方法 |
CN101589595B (zh) * | 2007-01-23 | 2013-04-24 | 阿尔卡特朗讯公司 | 用于潜在被污染端***的牵制机制 |
CN101383722B (zh) * | 2007-09-05 | 2011-04-06 | 大唐移动通信设备有限公司 | 一种时变量性能数据采集方法及装置 |
CN101184094B (zh) * | 2007-12-06 | 2011-07-27 | 北京启明星辰信息技术股份有限公司 | 一种适于局域网环境的网络节点扫描检测方法和*** |
CN101227331B (zh) * | 2008-01-25 | 2010-06-09 | 华中科技大学 | 一种减少网络入侵检测***误告警方法 |
CN101355463B (zh) * | 2008-08-27 | 2011-04-20 | 成都市华为赛门铁克科技有限公司 | 网络攻击的判断方法、***和设备 |
CN101895521B (zh) * | 2009-05-22 | 2013-09-04 | 中国科学院研究生院 | 一种网络蠕虫检测与特征自动提取方法及其*** |
CN101778011B (zh) * | 2009-12-31 | 2012-10-10 | 候万春 | 监视网络计算机终端通过互联网外传数据的方法 |
CN102413201A (zh) * | 2011-11-10 | 2012-04-11 | 上海牙木通讯技术有限公司 | 一种dns查询请求的处理方法及设备 |
CN102708313A (zh) * | 2012-03-08 | 2012-10-03 | 珠海市君天电子科技有限公司 | 针对大文件的病毒检测***及方法 |
CN103916376A (zh) * | 2013-01-09 | 2014-07-09 | 台达电子工业股份有限公司 | 具攻击防护机制的云端***及其防护方法 |
CN105207829A (zh) * | 2014-06-04 | 2015-12-30 | 腾讯科技(深圳)有限公司 | 一种入侵检测数据处理方法、装置,及*** |
CN105207829B (zh) * | 2014-06-04 | 2020-08-04 | 腾讯科技(深圳)有限公司 | 一种入侵检测数据处理方法、装置,及*** |
CN104539471A (zh) * | 2014-12-01 | 2015-04-22 | 北京百度网讯科技有限公司 | 带宽计量方法、装置和计算机设备 |
CN104539471B (zh) * | 2014-12-01 | 2018-02-23 | 北京百度网讯科技有限公司 | 带宽计量方法、装置和计算机设备 |
CN105007175A (zh) * | 2015-06-03 | 2015-10-28 | 北京云杉世纪网络科技有限公司 | 一种基于openflow的流深度关联分析方法及*** |
CN105915516A (zh) * | 2016-04-15 | 2016-08-31 | 杭州华三通信技术有限公司 | 基于安全检测的数据流获取方法及装置 |
CN105915516B (zh) * | 2016-04-15 | 2020-01-03 | 新华三技术有限公司 | 基于安全检测的数据流获取方法及装置 |
WO2018019010A1 (zh) * | 2016-07-25 | 2018-02-01 | 中兴通讯股份有限公司 | 动态行为分析方法、装置、***及设备 |
CN107332832A (zh) * | 2017-06-21 | 2017-11-07 | 北京东方棱镜科技有限公司 | 移动互联网分布式僵尸木马蠕虫检测方法和装置 |
CN107277073A (zh) * | 2017-08-16 | 2017-10-20 | 北京新网数码信息技术有限公司 | 一种网络监控方法及装置 |
CN108683681A (zh) * | 2018-06-01 | 2018-10-19 | 杭州安恒信息技术股份有限公司 | 一种基于流量策略的智能家居入侵检测方法及装置 |
CN112073209A (zh) * | 2019-06-10 | 2020-12-11 | 中兴通讯股份有限公司 | 一种数据包处理方法和装置 |
CN112615857A (zh) * | 2020-12-17 | 2021-04-06 | 杭州迪普科技股份有限公司 | 网络数据处理方法、装置与*** |
CN112615857B (zh) * | 2020-12-17 | 2023-02-17 | 杭州迪普科技股份有限公司 | 网络数据处理方法、装置与*** |
CN115396212A (zh) * | 2022-08-26 | 2022-11-25 | 国科华盾(北京)科技有限公司 | 检测模型的训练方法、装置、计算机设备和存储介质 |
Also Published As
Publication number | Publication date |
---|---|
CN1330131C (zh) | 2007-08-01 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN1697404A (zh) | 一种交互式的网络蠕虫检测***和方法 | |
US7623466B2 (en) | Symmetric connection detection | |
Yegneswaran et al. | Using honeynets for internet situational awareness | |
CN101789931B (zh) | 一种基于数据挖掘的网络入侵检测***及方法 | |
US9848004B2 (en) | Methods and systems for internet protocol (IP) packet header collection and storage | |
US7903566B2 (en) | Methods and systems for anomaly detection using internet protocol (IP) traffic conversation data | |
Shanmugasundaram et al. | ForNet: A distributed forensics network | |
US8726382B2 (en) | Methods and systems for automated detection and tracking of network attacks | |
US7995496B2 (en) | Methods and systems for internet protocol (IP) traffic conversation detection and storage | |
CN107018084B (zh) | 基于sdn架构的ddos攻击防御网络安全方法 | |
US20030084326A1 (en) | Method, node and computer readable medium for identifying data in a network exploit | |
US8762515B2 (en) | Methods and systems for collection, tracking, and display of near real time multicast data | |
CN1909488A (zh) | 一种结合病毒检测与入侵检测的方法及*** | |
US20090319659A1 (en) | Source detection device for detecting a source of sending a virus and/or a dns attack linked to an application, method thereof, and program thereof | |
CN1203641C (zh) | 网络入侵监测的方法和*** | |
CN1578227A (zh) | 一种动态ip数据包过滤方法 | |
CN110958231A (zh) | 基于互联网的工控安全事件监测平台及其方法 | |
CN103281336A (zh) | 网络入侵检测方法 | |
Kaushik et al. | Network forensic system for ICMP attacks | |
CN101582880B (zh) | 一种基于被审计对象的报文过滤方法及*** | |
Mai et al. | J-Honeypot: a Java-based network deception tool with monitoring and intrusion detection | |
CN113377051B (zh) | 一种基于fpga的网络安全防护设备 | |
CN1317855C (zh) | 一种入侵检测***及其入侵检测方法 | |
Nie et al. | Intrusion detection using a graphical fingerprint model | |
CN101197810A (zh) | 一种实时检测蠕虫的方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20070801 Termination date: 20150610 |
|
EXPY | Termination of patent right or utility model |