[发明专利]一种网络蠕虫检测方法及检测系统

权利要求书

1.一种网络蠕虫检测方法，包括：

步骤1)、接收网络数据包，在所述网络数据包中提取与网络蠕虫检测 相关且用于证明网络蠕虫存在的检测特征；

步骤2)、将所述检测特征作为朴素可信度模型中的证据，计算证据可 信度；其中，所述朴素可信度模型在可信度模型的基础上增加了知识中的 证据总是支持结论为真的假设；

步骤3)、根据所述检测特征创建所述朴素可信度模型中的知识，计算 所述知识的可信度；其中，在所述朴素可信度模型的知识中，所述检测特 征中的独立检测特征对应一个独立的知识，而所述检测特征中的相关检测 特征在同一个知识内；

步骤4)、将所述证据可信度以及所述知识的可信度代入朴素可信度模 型的可信度计算公式，对网络中存在蠕虫攻击的结论事件进行可信度计 算。

2.根据权利要求1所述的网络蠕虫检测方法，其特征在于，在所述 的步骤1)中，所述的与网络蠕虫检测相关且用于证明网络蠕虫存在的检 测特征包括差错包短连接度特征、正常包短连接度特征、数据流量特征、 数据包速率特征、包速率均匀度特征、包长均匀度特征、连接树图模式特 征以及包数增长率特征在内的8个检测特征中的至少两个。

3.根据权利要求2所述的网络蠕虫检测方法，其特征在于，所述的 连接树图模式特征的提取方法为：

当<sip，dport>的正常包短连接度超过一设定的阈值，则所述sip为可疑 传播源；其中的sip为数据包的源IP，dip为数据包的目的IP，dport为数 据包的目的端口；

考察每个<sip，dport>的正常包短连接度，若存在新的可疑传播源sip， 则将sip加入到对应的<dport>的可疑传播源集合中。

4.根据权利要求2所述的网络蠕虫检测方法，其特征在于，在所述 的步骤2)中，计算所述连接树图模式特征的证据可信度包括：

考察所有<dport>的可疑传播源集合，若所述集合中的一个可疑传播源 是另一个可疑传播源的受害主机，则存在一个树图模式；其中的dport为 数据包的目的端口；

若树图模式数超过一阈值，则该<dport>的连接树图模式为异常，其证 据的可信度置为1。

5.根据权利要求4所述的网络蠕虫检测方法，其特征在于，所述的 阈值为包括2或3在内的整数。