[发明专利]木马监控审计方法及系统

摘要

本发明公开了一种木马监控审计方法及系统。其中，该方法包括：实时采集网络数据包；当前会话确定步骤，检查网络数据包是否属于已经建立的网络会话，如果是，则插入到已建立的会话中，否则建立新的会话；判断当前会话是否是木马通信会话，如果是，则在当前会话是属于木马网络通信会话时，记录木马网络通信会话的内容；依据记录的木马网络通信会话的内容，检测是否是木马网络操作行为，若是，记录并监测木马网络操作行为。基于本发明，不仅能够对木马的类型进行识别，而且能够对木马的网络行为进行监控。

主权项

一种木马监控审计方法，其特征在于，采集步骤，实时采集网络数据包；当前会话确定步骤，检查网络数据包是否属于已经建立的网络会话，如果是，则插入到已建立的会话中，否则建立新的会话；所述已建立的会话或所述新的会话作为当前会话；会话内容记录步骤，检测当前会话是否为木马网络通信会话；若是，记录木马网络通信会话的内容；木马网络操作行为检测步骤，依据记录的木马网络通信会话的内容，检测是否是木马网络操作行为，若是，记录并监测木马网络操作行为；其中，木马网络操作行为的类型包括：木马文件操作、木马屏幕操作、木马命令操作和进程/服务操作。