專利名稱：一種基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法
技術(shù)領(lǐng)域：
本發(fā)明是一種用于在基于互聯(lián)網(wǎng)或內(nèi)聯(lián)網(wǎng)的網(wǎng)絡(luò)計算環(huán)境中，提高各主機節(jié)點對網(wǎng)絡(luò)病毒的抵御能力，可采用的一種基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法。本技術(shù) 屬于分布式計算、信息安全、計算機網(wǎng)絡(luò)和計算機軟件的交叉技術(shù)應(yīng)用領(lǐng)域。
背景技術(shù)：
網(wǎng)絡(luò)病毒包括計算機病毒、網(wǎng)絡(luò)蠕蟲、后門木馬、間諜件等，網(wǎng)絡(luò)優(yōu)秀的資源共享 和通信功能為網(wǎng)絡(luò)病毒的傳播、感染和破壞提供了天然溫床。通過網(wǎng)絡(luò)特別是互聯(lián)網(wǎng)及其 應(yīng)用系統(tǒng)傳播的網(wǎng)絡(luò)病毒、波及范圍大、覆蓋面廣，在短時間內(nèi)就可以造成網(wǎng)絡(luò)擁塞甚至癱 瘓、共享資源丟失、機密信息失竊，從而造成巨大的損失。目前防御網(wǎng)絡(luò)病毒的主要手段是依靠修補系統(tǒng)漏洞(即打補丁)和反病毒軟件或 反病毒軟件。反病毒軟件通常集成實時監(jiān)控識別、病毒掃描和清除、自動升級和數(shù)據(jù)恢復(fù)等 功能，已成為計算機與網(wǎng)絡(luò)防御系統(tǒng)(還包含防火墻、入侵檢測、入侵防御系統(tǒng)等)的重要 組成部分。但是目前的反病毒軟件基本是首先要發(fā)現(xiàn)并確認一個網(wǎng)絡(luò)病毒，然后再進行防 范，存在著一系列問題(1)無法有效地處理日益增多的惡意程序，大部分反病毒軟件是滯后于網(wǎng)絡(luò)病毒 的制造和傳播，目前最常采用的特征庫判別法顯然已經(jīng)過時；(2)目前最常采用的惡意程序防御策略主要是單純多機防御，即每臺計算機上安 裝一套識別和查殺惡意程序的反病毒軟件，主要依靠本地硬盤中的病毒庫，力量單?。?3)目前反病毒軟件的種類比較多，側(cè)重點各有不同，即使從單點防御進步到網(wǎng)絡(luò) 級的定點網(wǎng)關(guān)殺毒，但負責防御的網(wǎng)關(guān)或計算機上一般只安裝一套反病毒軟件，因此常常 難以有效防御各種網(wǎng)絡(luò)病毒；(4)近年攻擊反病毒軟件的網(wǎng)絡(luò)病毒也越來越多，即使現(xiàn)在大部分反病毒軟件都 有自我保護功能，不過現(xiàn)在依然有網(wǎng)絡(luò)病毒能夠屏蔽反病毒軟件的進程，致使其癱瘓而無 法保護主機。針對日益嚴重的網(wǎng)絡(luò)病毒傳播、感染和攻擊問題，本發(fā)明提出一種既可適用于在 互聯(lián)網(wǎng)也適用于內(nèi)聯(lián)網(wǎng)的基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法。

發(fā)明內(nèi)容
技術(shù)問題目前網(wǎng)絡(luò)上的病毒傳播、感染和攻擊問題日益嚴重，防御網(wǎng)絡(luò)病毒的主 要手段是依靠的反病毒軟件。然而，目前的反病毒軟件存在著滯后性和不全面性等一系列 問題，導(dǎo)致其不能有效的防御網(wǎng)絡(luò)病毒。各種反病毒引擎?zhèn)戎攸c不同，存在互補性。本發(fā)明 提出一種既可適用于在互聯(lián)網(wǎng)也適用于內(nèi)聯(lián)網(wǎng)的基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御 方法。技術(shù)方案本發(fā)明提出的一種既可適用于在互聯(lián)網(wǎng)也適用于內(nèi)聯(lián)網(wǎng)的基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法主要是利用云計算中的集群服務(wù)器集成多種反病毒引擎 來協(xié)助甚至代替用戶終端來防御網(wǎng)絡(luò)病毒，使得網(wǎng)絡(luò)系統(tǒng)能更快速、有效地抵御網(wǎng)絡(luò)病毒 的攻擊。云計算將計算任務(wù)分布在大量計算機構(gòu)成的集群服務(wù)器資源池上，使各種應(yīng)用系 統(tǒng)能夠根據(jù)需要獲取所需要服務(wù)，一般具備以下3個典型特征硬件基礎(chǔ)設(shè)施架構(gòu)在大規(guī) 模的廉價服務(wù)器集群之上；應(yīng)用程序與底層服務(wù)協(xié)作開發(fā)，最大限度地利用資源；通過多 個廉價服務(wù)器之間的冗余，使用軟件獲得高可用性。采用基于高性價比的計算機集群的云 計算技術(shù)來構(gòu)建的網(wǎng)絡(luò)應(yīng)用系統(tǒng)，可以通過網(wǎng)絡(luò)使用功能強勁的服務(wù)器集群來運行網(wǎng)絡(luò)應(yīng) 用程序與網(wǎng)絡(luò)服務(wù)，任何一個用戶可以通過合適的互聯(lián)網(wǎng)接入設(shè)備即可獲取高性價比的網(wǎng) 絡(luò)服務(wù)。本發(fā)明利用云計算架構(gòu)來解決網(wǎng)絡(luò)中的網(wǎng)絡(luò)病毒問題體現(xiàn)了保障網(wǎng)絡(luò)時代信息 安全的一個新思路，它融合了協(xié)同處理、分布式計算、數(shù)據(jù)挖掘等新興技術(shù)和概念。該方法首先在云計算集群服務(wù)器端上部署多種反病毒引擎，不同的反病毒引擎分 別側(cè)重于不同類型的網(wǎng)絡(luò)病毒；將服務(wù)器按照其上安裝的引擎將服務(wù)器集群分為多個防御 區(qū)域，另外選擇一個服務(wù)器節(jié)點作為用戶終端接入集群服務(wù)器的門戶節(jié)點；服務(wù)器端的主要功能是將用戶索取的網(wǎng)絡(luò)資源通過多反病毒引擎進行檢測過濾、 病毒清除以及系統(tǒng)升級，當用戶終端通過網(wǎng)絡(luò)客戶端軟件來獲取網(wǎng)絡(luò)時，依賴服務(wù)器端的 反病毒引擎來代替自己防御網(wǎng)絡(luò)病毒。聯(lián)合防御方法包括以下步驟步驟①用戶終端首先將網(wǎng)絡(luò)資源地址發(fā)往集群服務(wù)器端的門戶節(jié)點，在集群服務(wù)器端維護一個不斷更新的有害資源庫，包含了惡意網(wǎng)站、惡意文件等 相關(guān)信息；如果系統(tǒng)發(fā)現(xiàn)用戶希望獲取的資源地址被包含在有害資源庫中，立刻向用戶發(fā) 送一個警報信息，并詢問用戶是否確定要繼續(xù)獲取該資源；如果用戶放棄則結(jié)束本次會話； 如果用戶選擇繼續(xù)獲取該資源，或是該資源地址沒有安全危險，則轉(zhuǎn)入步驟②；步驟②系統(tǒng)服務(wù)器根據(jù)資源地址訪問相關(guān)的站點，步驟③系統(tǒng)服務(wù)器獲取相關(guān)網(wǎng)絡(luò)資源，步驟④系統(tǒng)服務(wù)器端在獲取到網(wǎng)絡(luò)資源后立刻對資源進行多反病毒引擎并行檢 測，即將資源同時調(diào)度到多個防御區(qū)域的服務(wù)器節(jié)點上進行檢測；如果這些防御區(qū)域的服 務(wù)器節(jié)點都檢測該資源沒有任何安全問題，即將資源發(fā)送至用戶接收；如果其中至少一個 區(qū)域的服務(wù)器節(jié)點檢測到該資源存在安全問題，如包含了蠕蟲、木馬等網(wǎng)絡(luò)病毒，則立刻向 用戶發(fā)送一個警報信息，并詢問用戶是否確定要繼續(xù)獲取該資源；如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，則嘗試清除資源 中的網(wǎng)絡(luò)病毒，若清除成功則將干凈的資源發(fā)送給用戶，若服務(wù)器無法清除，則立刻提交病 毒報告至服務(wù)器端的病毒報告數(shù)據(jù)庫中，留給相關(guān)負責解決網(wǎng)絡(luò)病毒問題的單位進行分析 解決，同時將該資源地址等信息寫入有害資源庫中，并再次詢問用戶是否確定接收該資源； 如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，則將該資源發(fā)送給該用戶， 并向系統(tǒng)的其它用戶終端發(fā)出警報。
基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法中識別和查殺病毒不再僅僅依靠用 戶終端本地硬盤中的病毒庫，而是依靠龐大的云計算網(wǎng)絡(luò)服務(wù)，實時進行采集、分析、處理和網(wǎng)絡(luò)系統(tǒng)的整體快速升級，以協(xié)同對抗不斷出現(xiàn)的網(wǎng)絡(luò)病毒。整個網(wǎng)絡(luò)就形成了一個巨 大的“網(wǎng)絡(luò)病毒聯(lián)合防御系統(tǒng)”，服務(wù)器端負責協(xié)助甚至代替用戶終端來集中防御網(wǎng)絡(luò)病毒在云計算系統(tǒng)的集群服務(wù)器端上部署多類反病毒軟件或是多種反病毒引擎，不同 的反病毒軟件或引擎分別側(cè)重于木馬、病毒、蠕蟲、間諜件、游戲盜號或密碼竊取程序等各 種不同的惡意程序。將集群服務(wù)器按照其上安裝的引擎將服務(wù)器集群分為多個個防御區(qū) 域。另外選擇一個服務(wù)器節(jié)點作為用戶終端接入集群服務(wù)器的門戶節(jié)點。用戶終端計算機 上也可以自主安裝相應(yīng)的反病毒軟件，因此按照所安裝的反病毒軟件的不同也將用戶終端 計算機分為多個虛擬組織。有時，用戶終端計算機可以安裝多個互相不沖突的反病毒軟件； 也可以選擇不安裝任何反病毒軟件，即將網(wǎng)絡(luò)病毒的防御工作完全交由服務(wù)器端來完成。服務(wù)器端的主要功能是將網(wǎng)絡(luò)資源通過多反病毒引擎進行檢測過濾、病毒清除以 及系統(tǒng)升級，另外，還需捕獲和分析用戶提交的病毒報告；數(shù)量巨大的用戶終端可對互聯(lián)網(wǎng) 上出現(xiàn)的惡意程序，危險網(wǎng)站有最靈敏的感知能力，因此其主要功能是及時將發(fā)現(xiàn)的網(wǎng)絡(luò) 病毒或是系統(tǒng)的異常情況提交給服務(wù)器端。有益效果本發(fā)明的基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法可以達到如下的 有益效果(1)網(wǎng)絡(luò)病毒防御更全面，系統(tǒng)方法通過在服務(wù)器端集成多反病毒引擎，有效的形 成優(yōu)勢互補，更有效的解決網(wǎng)絡(luò)中的各類病毒(2)減輕了用戶端的負擔，用戶端可以不安裝病毒防御軟件就可以上網(wǎng)獲取資源。(3)反病毒系統(tǒng)升級更加容易，可以通過集中升級服務(wù)器端的反病毒程序來提高 網(wǎng)絡(luò)系統(tǒng)的病毒防御能力。


圖1是集群服務(wù)器分區(qū)示意圖。圖2是基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法工作流程示意圖。
具體實施例方式基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法的關(guān)鍵是在云計算集群服務(wù)器端上 部署多類反病毒軟件或是多種反病毒引擎，不同的反病毒軟件或引擎分別側(cè)重于木馬、病 毒、蠕蟲、間諜件、游戲盜號或密碼竊取程序等各種不同的惡意程序。1、集群服務(wù)器分區(qū)假設(shè)現(xiàn)有A、B、C、D和E這5套反病毒引擎，將服務(wù)器按照其上安裝的反病毒引擎 將服務(wù)器集群分為A、B、C、D、E 5個防御區(qū)域，如圖1所示。另外選擇一個服務(wù)器節(jié)點作為 用戶終端接入集群服務(wù)器的門戶節(jié)點。2、用戶終端計算機分組云計算環(huán)境的用戶終端計算機上也可以自主安裝相應(yīng)的反病毒軟件，因此按照所 安裝的反病毒軟件的不同也將用戶終端計算機分為多個虛擬組織，分組的目的不同分組的 用戶可對應(yīng)不同分區(qū)的集群服務(wù)器，由對應(yīng)的采用相同反病毒引擎的服務(wù)器來負責更新用 戶終端反病毒軟件。用戶終端也可以選擇不安裝任何反病毒軟件，即將網(wǎng)絡(luò)病毒的防御工作完全交由服務(wù)器端來完成。服務(wù)器端的主要功能是將網(wǎng)絡(luò)資源通過多反病毒引擎進行檢測過濾、病毒清除以 及系統(tǒng)升級，另外，還需捕獲和分析用戶提交的病毒報告；數(shù)量巨大的用戶終端對互聯(lián)網(wǎng)上 出現(xiàn)的惡意程序，危險網(wǎng)站有最靈敏的感知能力，因此其主要功能是及時將發(fā)現(xiàn)的網(wǎng)絡(luò)病 毒或是系統(tǒng)的異常情況提交給服務(wù)器端和其它用戶終端。當用戶終端特別是未在本地按照 反病毒軟件的用戶終端接入網(wǎng)絡(luò)通過瀏覽器、FTP(File Transfer Protocol，文件傳送協(xié) 議)或P2P (Peer-to-Peer computing，對等計算)等客戶端軟件來獲取網(wǎng)頁、視頻、軟件等 各種資源時，可以依賴服務(wù)器端的反病毒引擎來代替自己防御網(wǎng)絡(luò)病毒，系統(tǒng)可按照以下 的流程工作，如圖2所示①用戶終端首先將網(wǎng)絡(luò)資源的URL(Uniform Resource Locator，統(tǒng)一資源定位 符，萬維網(wǎng)服務(wù)程序上用于指定信息位置的表示方法)等資源地址發(fā)往集群服務(wù)器端的門 戶節(jié)點。在集群服務(wù)器端維護一個不斷更新的有害資源庫，包含了惡意網(wǎng)站、惡意文件等 相關(guān)信息。如果系統(tǒng)發(fā)現(xiàn)用戶希望獲取的資源地址被包含在有害資源庫中，立刻向用戶發(fā) 送一個警報信息，并詢問用戶是否確定要繼續(xù)獲取該資源。如果用戶放棄則結(jié)束本次會話； 如果用戶選擇繼續(xù)獲取該資源，或是該資源地址沒有安全危險，則轉(zhuǎn)入步驟②。②系統(tǒng)服務(wù)器根據(jù)資源地址訪問相關(guān)的站點，③系統(tǒng)服務(wù)器獲取相關(guān)網(wǎng)絡(luò)資源。④系統(tǒng)服務(wù)器端在獲取到網(wǎng)絡(luò)資源后立刻對資源進行多反病毒引擎并行檢測，即 將資源同時調(diào)度到A、B、C、D、E 5個防御區(qū)域的服務(wù)器節(jié)點上進行檢測。如果A、B、C、D、E 5個防御區(qū)域的服務(wù)器節(jié)點都檢測該資源沒有任何安全問題，即將資源發(fā)送至用戶接收，參 見圖中的步驟⑤；如果其中至少一個區(qū)域的服務(wù)器節(jié)點檢測到該資源存在安全問題，如包 含了蠕蟲、木馬等網(wǎng)絡(luò)病毒，則立刻向用戶發(fā)送一個警報信息，并詢問用戶是否確定要繼續(xù) 獲取該資源。如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，則嘗試清除資源 中的網(wǎng)絡(luò)病毒，若清除成功則將干凈的資源發(fā)送給用戶(參見圖中的步驟⑤)，若服務(wù)器無 法清除，則立刻提交病毒報告至服務(wù)器端的病毒報告數(shù)據(jù)庫中，留給相關(guān)負責解決網(wǎng)絡(luò)病 毒問題的單位進行分析解決，同時將該資源地址等信息寫入有害資源庫中，并再次詢問用 戶是否確定接收該資源。如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，則 將該資源發(fā)送給該用戶(參見圖中的步驟⑤)，并向系統(tǒng)的其它用戶終端發(fā)出警報。具體而言，本方法可以軟件的方式來實現(xiàn)。為了使應(yīng)用該方法的軟件系統(tǒng)具有普 遍適用性，即既能夠適用于服務(wù)器端，又能適用于各種各樣的客戶端，基于多反病毒引擎的 網(wǎng)絡(luò)病毒聯(lián)合防御軟件系統(tǒng)應(yīng)采用具有跨平臺特性的JAVA語言來構(gòu)建，并基于Eclipse開 發(fā)平臺，集群服務(wù)器端維護的有害資源庫則采用MySQL數(shù)據(jù)庫系統(tǒng)來實現(xiàn)。該軟件由服務(wù) 器端模塊和用戶端模塊組成。為了能夠同時為多個用戶提供病毒檢測等服務(wù)，系統(tǒng)必須能 支持多用戶、多任務(wù)并發(fā)操作，服務(wù)器操作系統(tǒng)采用Linux系統(tǒng)，采用多線程方式實現(xiàn)于與 多個用戶節(jié)點的連接。
權(quán)利要求
一種基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法，其特征在于首先在云計算集群服務(wù)器端上部署多種反病毒引擎，不同的反病毒引擎分別側(cè)重于不同類型的網(wǎng)絡(luò)病毒；將服務(wù)器按照其上安裝的引擎將服務(wù)器集群分為多個防御區(qū)域，另外選擇一個服務(wù)器節(jié)點作為用戶終端接入集群服務(wù)器的門戶節(jié)點；服務(wù)器端的主要功能是將用戶索取的網(wǎng)絡(luò)資源通過多反病毒引擎進行檢測過濾、病毒清除以及系統(tǒng)升級，當用戶終端通過網(wǎng)絡(luò)客戶端軟件來獲取網(wǎng)絡(luò)時，依賴服務(wù)器端的反病毒引擎來代替自己防御網(wǎng)絡(luò)病毒；聯(lián)合防御方法包括以下步驟步驟①用戶終端首先將網(wǎng)絡(luò)資源地址發(fā)往集群服務(wù)器端的門戶節(jié)點，在集群服務(wù)器端維護一個不斷更新的有害資源庫，包含了惡意網(wǎng)站、惡意文件等相關(guān)信息；如果系統(tǒng)發(fā)現(xiàn)用戶希望獲取的資源地址被包含在有害資源庫中，立刻向用戶發(fā)送一個警報信息，并詢問用戶是否確定要繼續(xù)獲取該資源；如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，或是該資源地址沒有安全危險，則轉(zhuǎn)入步驟②；步驟②系統(tǒng)服務(wù)器根據(jù)資源地址訪問相關(guān)的站點，步驟③系統(tǒng)服務(wù)器獲取相關(guān)網(wǎng)絡(luò)資源，步驟④系統(tǒng)服務(wù)器端在獲取到網(wǎng)絡(luò)資源后立刻對資源進行多反病毒引擎并行檢測，即將資源同時調(diào)度到多個防御區(qū)域的服務(wù)器節(jié)點上進行檢測；如果這些防御區(qū)域的服務(wù)器節(jié)點都檢測該資源沒有任何安全問題，即將資源發(fā)送至用戶接收；如果其中至少一個區(qū)域的服務(wù)器節(jié)點檢測到該資源存在安全問題，如包含了蠕蟲、木馬等網(wǎng)絡(luò)病毒，則立刻向用戶發(fā)送一個警報信息，并詢問用戶是否確定要繼續(xù)獲取該資源；如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，則嘗試清除資源中的網(wǎng)絡(luò)病毒，若清除成功則將干凈的資源發(fā)送給用戶，若服務(wù)器無法清除，則立刻提交病毒報告至服務(wù)器端的病毒報告數(shù)據(jù)庫中，留給相關(guān)負責解決網(wǎng)絡(luò)病毒問題的單位進行分析解決，同時將該資源地址等信息寫入有害資源庫中，并再次詢問用戶是否確定接收該資源；如果用戶放棄則結(jié)束本次會話；如果用戶選擇繼續(xù)獲取該資源，則將該資源發(fā)送給該用戶，并向系統(tǒng)的其它用戶終端發(fā)出警報。
全文摘要
基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法主要是利用云計算中的集群服務(wù)器集成多種反病毒引擎來協(xié)助甚至代替用戶終端來防御網(wǎng)絡(luò)病毒，使得網(wǎng)絡(luò)系統(tǒng)能更快速、有效地抵御網(wǎng)絡(luò)病毒的攻擊。目前網(wǎng)絡(luò)上的病毒傳播、感染和攻擊問題日益嚴重，防御網(wǎng)絡(luò)病毒的主要手段是依靠的反病毒軟件。本發(fā)明提出一種既可適用于在互聯(lián)網(wǎng)也適用于內(nèi)聯(lián)網(wǎng)的基于多反病毒引擎的網(wǎng)絡(luò)病毒聯(lián)合防御方法。該方法首先在云計算集群服務(wù)器端上部署多種反病毒引擎，不同的反病毒引擎分別側(cè)重于不同類型的網(wǎng)絡(luò)病毒；將服務(wù)器按照其上安裝的引擎將服務(wù)器集群分為多個防御區(qū)域，另外選擇一個服務(wù)器節(jié)點作為用戶終端接入集群服務(wù)器的門戶節(jié)點。
文檔編號H04L12/26GK101827104SQ201010158969
公開日2010年9月8日 申請日期2010年4月27日 優(yōu)先權(quán)日2010年4月27日
發(fā)明者徐小龍, 楊寶春, 柴倩, 熊婧夷, 程春玲, 趙昌耀, 錢建屹 申請人:南京郵電大學(xué)