一种大数据中恶意代码检测及处理方法及系统技术方案

本发明专利技术提供了一种大数据中恶意代码检测及处理方法及系统，方法包括以下步骤：网络数据捕获、数据的汇聚及解析、提取特征数据并与病毒特征库进行扫描对比、对恶意事件及可疑数据样本处理；系统包括：MVDS监控探头、MVDS管理平台、处置接口系统和研判系统，其中，MVDS监控探头内包括：捕包层、协议解析层、预处理层、反病毒引擎层和数据层；MVDS管理平台包括：认证、拓扑管理层、数据、日志及展示管理层、设备、性能及基本管理层和病毒特征库管理及处置策略管理层。

【技术实现步骤摘要】
一种大数据中恶意代码检测及处理方法及系统
本专利技术涉及移动终端恶意代码的检测及处理领域，具体涉及一种大数据中恶意代码检测及处理方法及系统。
技术介绍
一般来说，大数据中的恶意代码主要通过两个阶段来实现其恶意目的，第一个阶段是传播和感染阶段，通过内置到山寨客户端中和挂载到下载站及第三方论坛等手段，将植入了恶意代码的程序传播到客户端中进行潜伏；第二个阶段是发作阶段，感染了恶意代码的客户端主动连接恶意控制服务器，获取指令并按照指令执行恶意行为。感染阶段虽然下载事件相对较少，不会对网络造成太大影响，但其有两方面的主要危害。一方面，恶意代码的下载传播可能客户端感染其他病毒，进而导致发送大量垃圾短信、彩信，占用正常带宽流量，对运营商的正常服务造成影响。另一方面，恶意代码的下载传播，会致使客户端话费损失，进而增加用户对运营商的投诉。当恶意代码感染一定量用户以后，便会进入爆发阶段，通过控制服务器获取指令并执行恶意操作。恶意程序发作会产生大量的垃圾流量、恶意短信、彩信，给运营商网络服务造成一定压力，也给用户带来巨大损失，导致投诉猛增。目前市场上缺少快速、有效的发现网络中的恶意代码，对恶意代码感染源头精准定位，及快速及时更新病毒特征库的方法及系统。无法满足用户对网络高性能、高可靠、高容量的要求，用户移动通讯服务体验差。
技术实现思路
本专利技术要解决的技术问题在于针对上述问题，提供一种大数据中恶意代码检测及处理方法及系统。本专利技术的技术方案为：一种大数据中恶意代码检测及处理方法，包括以下步骤：网络数据捕获：采用分光或端口镜像的方法多网卡捕获网络中的数据；数据的汇聚及解析：将捕获的数据进行流汇聚处理，并采用多引擎串行工作的方法对汇聚后的数据进行解析，对解析后的数据进行再汇聚处理；提取特征数据并与病毒特征库进行扫描对比：扫描汇聚后的数据，通过签名检测的方式记录数据的URI信息，对不同类型的数据进行分类并提取特征数据，根据数据类型分别与相应类型的病毒特征库进行进行特征的扫描对比，确定恶意代码检测情况；对恶意事件及可疑数据样本处理：当检测到恶意事件发生时，记录数据样本的URI信息，同时向客户端发送恶意事件处置页面并对客户端的恶意流量进行阻断；对于可疑的数据样本，记录数据样本的URI信息，并进行缓存处理，再由人工评判后，更新相应的病毒特征库。进一步的，在对数据进行解析时，采用HTTP、STMP/POP、FTP、SMB、P2P、WAP、彩信、IP、GTP和GRE引擎串行的方式，对数据进行识别及协议解析。进一步的，在进行特征对比时，病毒特征库分为PE分支、APK分支、SIS分支和J2ME分支。进一步的，向客户端发送的恶意事件处置页面是用户提供的病毒专杀页面或推送的病毒抓杀页面。一种大数据中恶意代码检测及处理系统，包括：MVDS监控探头，部署在PCF与PSDN之间，获取实时流量数据，进行协议解析以及对恶性事件进行判定，记录并实时上传运行信息、检测日志信息和会话还原信息；MVDS管理平台，负责整个系统数据的汇总、整理、入库、展示、管理以及处理；处置接口系统，执行MVDS管理平台关于协助用户方通过WAP推送技术向用户推送通知或者对恶意流量进行阻断的命令任务；研判系统，通过人工对MVDS管理平台上传的可疑文件进行分析判定，并将提取的病毒特征下发给管理平台，进行病毒特征库的更新；其中，MVDS监控探头内包括：捕包层，采用分光或端口镜像的技术对网络中的数据进行多网卡捕获；协议解析层，包括数据包调度模块和协议解析模块，数据包调度模块对数据进行识别、分类以及协议采样的调度；协议解析模块，采用HTTP、STMP/POP、FTP、SMB、P2P、WAP、彩信、IP、GTP和GRE引擎串行的方式，对数据进行识别及协议解析；预处理层，对解析后的数据进行再汇聚处理；反病毒引擎层，包括引擎调度模块和反病毒引擎模块，引擎调度模块对数据进行扫描、识别分类及提取特征数据，再调用不同的反病毒分支引擎及相应病毒特征库；反病毒引擎模块包括PE分支、APK分支、SIS分支和J2ME分支四个分支引擎对四种类型的文件进行对比扫描；数据层，对反病毒引擎层运行信息、检测日志信息、会话还原信息等进行汇总、整理和上传；MVDS管理平台包括：认证、拓扑管理层，记录系统用户的登录基本信息；数据、日志及展示管理层，整个系统的数据、运行日志信息及信息的展示；设备、性能及基本管理层，硬件设备的性能及基本信息管理；病毒特征库管理及处置策略管理层，病毒特征库数据的管理、更新，对恶意及可疑事件的处置。本专利技术的有益效果为：本专利技术的恶意代码检测方法，基于实时流量数据的检测，针对网络上传或者下载数据的恶意代码有很好的检出效果，能及时快速的发现恶意行为，通知用户处理并做出相应的处理，以减少用户损失。本专利技术在数据解析时，利用多引擎串行工作的机制进行数据的解析，提高了检测精度。在特征数据对比阶段，一方面记录数据样本的URI信息，当发现恶意事件及可疑事件时，URI信息能帮助系统精准快速定位恶意代码感染源头，并做及时的处理；另一方面根据数据的不同类型与相应类型的病毒特征库进行扫描比对，并采用多个分支引擎分别进行比对，增快扫描对比速度，提高整个系统的效率。处置接口系统，协助用户方通过WAP推送技术向用户推送通知或者对恶意流量进行阻断的命令任务，及时减少用户的损失。研判系统，通过人工对MVDS管理平台上传的可疑文件进行分析判定，并将提取的病毒特征下发给管理平台，进行病毒特征库的更新，增加人为的评判机制，能及时的根据可疑时间对可疑代码进行性质的判定，及时更新病毒特征库。附图说明图1所示为本专利技术的方法流程图；图2所示为本专利技术的系统结构图；图3所示为本专利技术的工作流程图。具体实施方式下面结合附图和实施例对本专利技术的实施方式作进一步详细描述。以下实施例用于说明本专利技术，但不能用来限制本专利技术的范围。图2是本专利技术的系统结构图，公开了一种大数据中恶意代码检测及处理系统，包括：MVDS监控探头，部署在PCF与PSDN之间，获取实时流量数据，进行协议解析以及对恶性事件进行判定，记录并实时上传运行信息、检测日志信息和会话还原信息；MVDS管理平台，负责整个系统数据的汇总、整理、入库、展示、管理以及处理；处置接口系统，执行MVDS管理平台关于协助用户方通过WAP推送技术向用户推送通知或者对恶意流量进行阻断的命令任务；研判系统，通过人工对MVDS管理平台上传的可疑文件进行分析判定，并将提取的病毒特征下发给管理平台，进行病毒特征库的更新；其中，MVDS监控探头内包括：捕包层，采用分光或端口镜像的技术对网络中的数据进行多网卡捕获；协议解析层，包括数据包调度模块和协议解析模块，数据包调度模块对数据进行识别、分本文档来自技高网...

【技术保护点】
1.一种大数据中恶意代码检测及处理方法，其特征在于，包括以下步骤：/n网络数据捕获：采用分光或端口镜像的方法多网卡捕获网络中的数据；/n数据的汇聚及解析：将捕获的数据进行流汇聚处理，并采用多引擎串行工作的方法对汇聚后的数据进行解析，对解析后的数据进行再汇聚处理；/n提取特征数据并与病毒特征库进行扫描对比：扫描再汇聚后的数据，通过签名检测的方式记录数据的URI信息，通过对病毒文件特征码与数据文件的比对，对数据进行检测，对不同类型的数据进行分类，通过多引擎的串行工作，并提取特征数据，根据数据类型分别与相应类型的病毒特征库进行特征的扫描对比，确定恶意代码检测情况；/n对恶意事件及可疑数据样本处理：当检测到恶意事件发生时，记录数据样本的URI信息，同时向客户端发送恶意事件处置页面并对客户端的恶意流量进行阻断；对于可疑的数据样本，记录数据样本的URI信息，并进行缓存处理，再由人工评判后，更新相应的病毒特征库。/n

【技术特征摘要】
1.一种大数据中恶意代码检测及处理方法，其特征在于，包括以下步骤：
网络数据捕获：采用分光或端口镜像的方法多网卡捕获网络中的数据；
数据的汇聚及解析：将捕获的数据进行流汇聚处理，并采用多引擎串行工作的方法对汇聚后的数据进行解析，对解析后的数据进行再汇聚处理；
提取特征数据并与病毒特征库进行扫描对比：扫描再汇聚后的数据，通过签名检测的方式记录数据的URI信息，通过对病毒文件特征码与数据文件的比对，对数据进行检测，对不同类型的数据进行分类，通过多引擎的串行工作，并提取特征数据，根据数据类型分别与相应类型的病毒特征库进行特征的扫描对比，确定恶意代码检测情况；
对恶意事件及可疑数据样本处理：当检测到恶意事件发生时，记录数据样本的URI信息，同时向客户端发送恶意事件处置页面并对客户端的恶意流量进行阻断；对于可疑的数据样本，记录数据样本的URI信息，并进行缓存处理，再由人工评判后，更新相应的病毒特征库。


2.根据权利要求1所述的一种大数据中恶意代码检测及处理方法，其特征在于，在对数据进行解析时，采用HTTP、STMP/POP、FTP、SMB、P2P、WAP、彩信、IP、GTP和GRE引擎串行的方式，对数据进行识别及协议解析。


3.根据权利要求1所述的一种大数据中恶意代码检测及处理方法，其特征在于，在进行特征对比时，病毒特征库分为PE分支、APK分支、SIS分支和J2ME分支。


4.根据权利要求1所述的一种大数据中恶意代码检测及处理方法，其特征在于，向客户端发送的恶意事件处置页面是用户提供的病毒专杀页面或推送的病毒抓杀页面。


5.一种大数据中恶意代码检测及处理系统，其特征在于，包括：
MVDS监控探头，部署在PCF与PSDN之间，获取实时流量数据，进行协议解析以及对恶性事件进行判定，记录并实时上传...

【专利技术属性】
技术研发人员：门嘉平，
申请(专利权)人：北京国联天成信息技术有限公司，
类型：发明
国别省市：北京;11