[发明专利]用于检测恶意命令和控制通道的系统和方法

权利要求书

1.一种用于网络安全的方法，包括：

检测从空闲源节点到目的地节点的重复连接；

基于所述重复连接的行为对所述空闲源节点计算分数；

如果所述分数超出阈值则采取策略动作，

其中检测所述重复连接包括：

检测通向超过X个地址的连接；

在预定时间段内检测通向少于Y个唯一地址的连接；以及

检测通向与所述唯一地址中的至少一个关联的少于Z个唯一资源标识符的连接；

其中X、Y和Z是指示与不是由人员用户产生的重复连接一致的模式的参数。

2.如权利要求1所述的方法，其中所述重复连接使用超文本传输协议。

3.如权利要求1所述的方法，其中X大于或等于10，Y小于或等于5并且Z小于或等于5。

4.如权利要求1所述的方法，其中所述时间段是至少八个小时。

5.如权利要求1所述的方法，其中计算所述分数包括使用启发法来识别指示威胁的行为。

6.如权利要求1所述的方法，其中计算所述分数包括使用启发法来识别指示bot命令和控制通道的行为。

7.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述目的地节点与在一年内注册的域关联则使所述分数增加。

8.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述重复连接中的至少一个不具有引用字段并且不具有根资源标识符则使所述分数增加。

9.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述重复连接中的至少一个未识别已知用户代理则使所述分数增加。

10.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述重复连接中的至少一个通过公共网络地址识别所述目的地节点则使所述分数增加。

11.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述重复连接具有小于V个平均请求首标行则使所述分数增加，其中V是指示通向所述目的地节点的malware连接的参数。

12.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述重复连接具有小于W的平均响应大小则使所述分数增加，其中W是指示来自命令和控制服务器的响应的参数。

13.如权利要求1-6中任一项所述的方法，其中计算所述分数包括请求与所述目的地节点关联的信誉值并且如果所述信誉值指示所述目的地节点与威胁关联则使所述分数增加。

14.如权利要求1-6中任一项所述的方法，其中计算所述分数包括如果所述目的地节点具有在与威胁关联的地带中的网络地址则使所述分数增加。

15.一种用于检测恶意命令和控制通道的设备，包括：

僵尸网络检测模块；以及

一个或多个处理器，能操作成执行与所述僵尸网络检测模块关联的指令，其中所述僵尸网络检测模块配置成用于：

检测从空闲源节点到目的地节点的重复连接；

基于所述重复连接的行为对所述空闲源节点计算分数；

如果所述分数超出阈值则采取策略动作，

其中检测所述重复连接包括：

检测通向超过X个地址的连接；

在预定时间段内检测通向少于Y个唯一地址的连接；以及

检测通向与所述唯一地址中的至少一个关联的少于Z个唯一资源标识符的连接；

其中X、Y和Z是指示与不是由人员用户产生的重复连接一致的模式的参数。

16.如权利要求15所述的设备，其中所述重复连接使用超文本传输协议。

17.如权利要求15所述的设备，其中计算所述分数包括使用启发法来识别指示威胁的行为。

18.如权利要求15所述的设备，其中计算所述分数包括使用启发法来识别指示bot命令和控制通道的行为。

19.如权利要求15-18中任一项所述的设备，其中计算所述分数包括如果所述目的地节点与在一年内注册的域关联则使所述分数增加。