《中孚恶意程序辅助检测系统v2.0+网络版技术白皮书》由会员分享，可在线阅读，更多相关《中孚恶意程序辅助检测系统v2.0+网络版技术白皮书（9页珍藏版）》请在金锄头文库上搜索。
1、中孚恶意程序辅助检测系统 V2.0 网络版技术白皮书山东中孚信息产业股份有限公司版权所有 翻版必究目 录目 录 .21. 产品的研制背景 .12. 产品的意义 .13. 中孚恶意程序辅助检测系统网络版总体设计 .13.1. 设计目标和设计思想 .13.2. 产品主要功能 .23.2.1黑名名单管理 .23.2.2智能分析 .33.2.3. 域名分析 .33.2.4HTTP 分析 .33.2.5. HTTP 下载和 FTP 上传下载行为的检测 .33.2.6. 邮件分析 .33.2.7. 网络行为分析 .43.2.8. 网络木马分析 .43.2.9. 离线文件的采集和分析 .43.3. 产品结构
2、设计 .54. 产品特点 .65. 产品运行环境 .75.1 硬件要求 .75.2 软件要求 .7http:/山东中孚信息产业股份有限公司 技术白皮书地 址：济南市高新区舜华路 2000 号舜泰广场 9 号楼 8 层 邮 编：250101 1总 机：0531-66590000 传 真：0531-665904561. 产品的研制背景在政府机关，重要的企事业单位，尤其是保密及安全部门中，大量的计算机中存储了重要的，敏感的，甚至是涉及国家秘密的数据。在一个网络普及的时代，各企业和政府单位网络安全意识相对淡薄，所以计算机系统受病毒感染和破坏的情况严重，电脑黑客活动已形成重要威胁，信息基础设施面临网络安
3、全的挑战，网络安全问题已成信息时代人类共同面临的挑战，国内的网络安全问题也日益突出，信息系统在预测和检测方面存在许多薄弱环节。2. 产品的意义本产品是在原有中孚恶意程序辅助检测系统单机版的基础上，开发的网络版辅助检测系统。本系统通过监控网络数据包，用来检测局域网中木马活动的痕迹，跟踪木马的活动情况，对于木马的一些上传涉密数据的操作，本系统将会采集分析相关信息并报警，管理员可以通过这些信息准确地定位可疑主机。例如，常见的远程控制、盗取用户账号信息的木马行为，都可以通过此检查工具检测到，并能够定位感染主机，因而对木马的清除起到很好的辅助功能，有效的防止因为木马感染而导致的内部信息外泄的安全隐患。3
4、. 中孚恶意程序辅助检测系统网络版总体设计3.1. 设计目标和设计思想基于单机的主动防御软件，有时过于依赖个人因素，例如 病毒库是否升级到最新 策略设置是否合适 防御软件是否被恶意程序破坏或被用户停止http:/山东中孚信息产业股份有限公司 技术白皮书地 址：济南市高新区舜华路 2000 号舜泰广场 9 号楼 8 层 邮 编：250101 2总 机：0531-66590000 传 真：0531-66590456 是否能保证局域网内每一台计算机安装单机版的主动防御软件在上述情况下基于单机的主动防御软件也会失去效力。而本产品部署在局域网的网络出口对整个网络的数据包进行监控，是基于网络数据分析，而非
5、部署在每一台用户机器上，所以仅需要有网络管理员来进行系统配置和监控信息的审计，就可以有效检测到整个单位的网络安全威胁，从而避免了因为基于单机的主动防御软件失效导致的内部信息被木马盗取的风险。3.2. 产品主要功能 黑白名单管理 智能分析 域名分析 HTTP分析 HTTP下载和FTP上传下载行为的检测 邮件分析 网络行为分析 网络木马分析 统计分析报告 离线文件的采集和分析3.2.1黑名名单管理黑白名单管理，对您允许访问的白名单和禁止访问的黑名单进行管理和维护。黑白名单的类型支持域名、关键字、文件类型，您可以按照种类非常方便的添加、编辑、删除黑白名单，查看已经设置的各种类型的黑白名单。http:
6、/山东中孚信息产业股份有限公司 技术白皮书地 址：济南市高新区舜华路 2000 号舜泰广场 9 号楼 8 层 邮 编：250101 3总 机：0531-66590000 传 真：0531-665904563.2.2智能分析一键化的智能分析，将局域网内所有具有嫌疑的主机以报表形式列出，并统计其违规次数，根据每条主机嫌疑记录可进一步查询主机详细的操作记录。3.2.3. 域名分析对您访问 Web 站点的请求进行监控和分析，系统会忽略您在白名单中设置的站点，这样有利于提高系统的效率，为您呈现更加有效的数据。系统会重点监控您设置的黑名单中列出的站点，并且会对这样的记录以特别的方式显示，以提高您的关切程度
7、。对于即不在白名单又不在黑名单列出的站点我们也会进行比较详细地记录，等待管理员审查确认，这样可以避免因黑名单设置的不全面而导致的监控失效问题。3.2.4HTTP 分析根据黑名单中设置的 HTTP 访问关键字，来进行筛选，若用户访问带有黑名单中列出的关键字的 URL 时会进行记录。这样就能够监控用户是否访问了不该访问的不安全站点。3.2.5. 文件下载分析对通过 HTTP 和 FTP 方式下载黑名单中列出的文件类型或文件名的用户，会对其使用的主机信息进行详细记录，待管理员审核，这样能够有效的检测到因为下载已经被注入木马的文件而导致被木马侵入，减小网络被木马侵入的风险。3.2.6. FTP 上传下载分析记录所有 FTP 上传下载行为，一些木马会用这种途径进行木马的传播和信息的盗取。为检查人员检查提供的依据。http:/山东中孚信息产业股份有限公司 技术白皮书地 址：济南市高新区舜华路 2000 号舜泰广场 9 号楼 8 层 邮 编：250101 4总 机：0531-66590000 传 真：0531-665904563.2.6. 邮件分析对局域网内用户发送邮件的行为进行记录。这样可以有效防止，内部信息通过邮件的方式被
