一种移动互联网恶意程序监测分析与处置.pdfVIP

岫——■■■一 PRACTICE 技术与实践ATECHNOEOGY 一种移动互联网恶意程序监测 分析与处置 中国电信股份有限公司江苏分公司操作维护中心林信达 摘要：为了研究和分析一种移动互联网监测与处置解决方案，实现对现网中用户中毒情况的监测、分析、处置。通过 对现网流量进行取样，将取样流量交由病毒特征检测引擎进行研判，再通过接口获取检测引擎检测分析结 果，根据研判的结果从现网系统中分析卅中毒用户信息，通过管理后台对巾毒的事件和用户进行各项查询和 统计，为移动互联网的集中处置提供依据。 关键词：移动互联网；恶意程序；监测；处置 络的接口)口采集原始流量，然后将原始流量进行预处理，将原 1监测分析系统概述 始流量转换为流量特征数据，包括文件、文件散列、三元组、DNS 求，然后将特征数据送数据交换接口模块： 1．1总体描述 1．3数据交换接口模块 移动互联网恶意程序监测系统通过对江苏电信的现网流 量进行取样后，将取样流量交由病毒特征检测引擎进行研判， 系统先将流量采集模块的原始数据进行处理(例如排重、 再通过接口获取检测引擎检测分析结果．根据研判的结果从现 格式转换)后生成上报的样本数据送恶意程序判别模块。接收 网系统中分析出中毒用户信息，通过管理后台对中毒的事件和 恶意程序特征数据，进行格式转换，生成采样病毒列表。 用户进行各项查询和统计，为移动互联网的集中处置提供依 1．4恶意程序检测接口 据： 移动互联网监测分析系统见图1： 文件检测接口用于文件类型的病毒分析，数据包括样 已 国 啄 与特定恶意域名通信的病毒分析，按批次定期以文件形式 c嘲 特征下 接Ll机 }机病，《 符)、域名信息；H1TrP检测接口。用于以特定规则联网的病 服务器 雌测系统 毒分析，按批次定期以文件形式生成(文件后缀以quew结 图1移动互联网监测分析系统示意图 尾)，文件中数据包括ID、及H1T11P中的字段；三元组检测接 口，用于以特定规则联网的病毒分析，按批次定期以文件形 1．2流量采集模块 式生成(文件后缀以query结尾)，文件中数据包括ID、协 从PDSN(分组数据支持节点)设备PI(PDSN和Intertnet网议、目标地址、目标端口= 江蓉@搐l2014．12 57 ■ 在WAP(无线应用协议)侧，配置恶意程序URL黑名单对 1-5恶意程序研判流程 恶意程序进行封堵处理。针对CTNET(中国电信互联网)和通过 出意程序研判流程见罔2 WiFi(无线保真)