技术总结
本发明涉及一种基于HTTP内容一致性的恶意网络行为发现方法。该方法包括：1)对HTTP报文进行解析；2)比较HTTP报文头所声明的类型和HTTP报文的实际载荷类型的一致性；3)若步骤2)比较的结果为不一致，则根据具体报文头和实际载荷类型对不一致行为进行可疑程度判断；4)对可疑程度大于设定的阈值的不一致行为进行记录；5)对记录的可疑的不一致行为进行扫描和分析，从而发现恶意行为。本发明具有很好的未知恶意行为发现能力，弥补了传统基于规则的防火墙和入侵检测系统对未知恶意行为检测的不足。
技术研发人员：熊刚;曹自刚;李镇;郭莉
受保护的技术使用者：中国科学院信息工程研究所
文档号码：201610953238
技术研发日：2016.10.27
技术公布日：2017.03.15