恶意程序检测系统(网络版)说明书 .pdfVIP

恶意程序检测系统（网络版）说明书

一、概述

1、信息安全现状

近年来随着互联网的普及，所面临的安全问题日趋严峻。根据实际工作经验，

木马已经代替病毒，成为网络安全威胁之首。特别是，境内外恶意的组织和机构

为盗取我国各种情报而专门开发木马，进行网络攻击和入侵，控制电脑散布和传

播各种有害信息。对重点部门、涉密单位进行有计划有组织的网络渗透，一旦这

些单位或者个人被控制，其带来的危害难以估量。

2、总体目标

针对当前严峻的安全形式，需要采购基于网络数据包进行木马行为检测工

具。对于所监控的网络具有智能分析功能，如果发现嫌疑主机要有立即报警的功

能，并且能够显示嫌疑主机的地理位置、记录该主机的HTTP下载，FTP上传下

载行为，DNS和流量统计等行为、保存相应的数据包、取证文件的下载。

可以检测新型木马和流行木马。

可以依据木马行为检测未知木马。

具有简单易读的分析报告，报告可导出成文档格式。

二、功能要求

1、智能分析

依据黑名单或者综合分析得出的嫌疑地址，采用基于木马行为智能关联分析

算法，得出关于整个监控网络的综合分析报告，过滤掉正常网络行为，具体功能：

（1）、报告嫌疑主机：地理位置，相关的报警行为。

（2）、DNS相关统计功能，特别是对DNS解析情况进行统计。

（3）、流量统计信息，发送和接收流量最大的几个IP地址展示。

（4）、TCP连接异常行为。

（5）、HTTP相关行为，关键数据的还原。

（6）、FTP相关行为，上传、下载行为，异常登录。

2、系统分析配置

行为检测参数有经验的用户可以自行配置分析参数，DNS解析范围配置：黑

名单、非白名单、非白名单且不以WWW打头的域名。用户自己添加的域名可

定义报警解析次数。

TCP连接配置。TCP连接数据报警范围：黑名单、非白名单。TCP连接次数

报警、TCP流量异常报警，连接时间范围报警。

TCP流量统计。统计范围：黑名单、非白名单。

针对黑名单的下载异常行为报警。

备注：黑名单报警范围适用百兆和千兆流量，非白名单报警范围适用于小流

量网路和分析离线数据包。重启后对新的配置生效。

3、网络环境

（1）、设备部署位置为单位的Internet网络出口，要求同时支持铜缆和光纤

接口。

（2）、自适应千兆、百兆和小型局域网环境，不影响原有网络设备工作。

（3）、支持临时检测的网络环境。

4、DNS（黑白名单）

（1）、黑名单功能：依据需要可自行添加修改删除黑名单、导入导出、自

动升级。黑名单类型包括域名、IP和IP段。

（2）、触发黑名单数据相关的木马行为立即报警，自定义的域名显示区分。

（3）、按解析后的域名IP地址位置查询。

（4）、域名请求信息查询。

（5）、解析自定义黑名单域名报警。

（6）、系统提供预置的黑名单库不少于3000个。

5、监控信息报警

通过分析数据包，统计反复连接行为、连接长期保持和流量统计先关数据。

反复连接行为报警统计从发起连接开始在一段时间内连接异常情况并触发报警。

建立后TCP会话在一段时间内连接一直保持的异常行为报警，并上报这一段时

间内的流量信息。另外也要统计相关IP地址的流量，分析出流量异常的嫌疑主

机。将流量统计和连接异常情况与DNS综合分析，快速定位。主要监控类型：

（1）、流量异常行为。

（2）、TCP连接异常行为。

6、HTTP

通过监控走TCP80端口数据包并分析出异常行为。重点监控走80的非HTTP

协议试图穿越防火墙的行为结合DNS内部关联分析出嫌疑主机并报警，监控类

型：

（1）、木马伪装HTTP。

（2）、走80非常规协议，试图穿越防火墙。

排除正常软件走80端口的行为（比如像：QQ）。

检测是否中木马下载器。监控HTTP下载行为重组还原部分嫌疑数据扫描下

载内容分析出可疑行为，记录相关下载的链接，特别关注从黑名单服务器上的下

载请求。

7、FTP

FTP监控：结合DNS关联机制，还原部分关键