[发明专利]一种僵尸主机的检测方法及装置

权利要求书

1.一种僵尸主机的检测方法，其特征在于，包括：

获取设定时间内网络中各待检测主机的邮件流量信息，所述邮件流量信息包括各待检测主机的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址与服务器的交互信息；

根据获取到的邮件流量信息，选择符合预设条件的IP地址，并计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值；所述预设条件通过下述方式实现：计算在所述设定时间内每个待检测主机的IP地址的入流量与出流量的平均速率、该IP地址与服务器交互的平均个数和该IP地址与服务器交互的平均次数；判断该IP地址的入流量与出流量的平均速率的比值是否小于第一阈值、该IP地址与服务器交互的平均个数是否大于第二阈值和该IP地址与服务器交互的平均次数是否大于第三阈值；若判断出均为是时，选出该IP地址；所述可能性度量值表征待检测主机是僵尸主机的目标阈值；

依次判断计算出的每个IP地址的可能性度量值是否大于第四阈值，若是，则将该IP地址所对应的待检测主机确定为僵尸主机。

2.如权利要求1所述的方法，其特征在于，通过下述方式获取到各待检测主机的邮件流量信息：

获取所述设定时间内所述网络中所有主机的流量信息；

从所述流量信息中，选择邮件收发端口所对应的主机的流量信息，并将其作为各待检测主机的邮件流量信息。

3.如权利要求1或2所述的方法，其特征在于，通过下述方式计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值：

针对选择出的IP地址中的每个IP地址，使用下述公式计算该IP地址对应的待检测主机的可能性度量值M：

M=(a/5+b/5+c/5+d/5+e/5)×5，

其中，

4.一种僵尸主机的检测装置，其特征在于，包括：

获取模块，用于获取设定时间内网络中各待检测主机的邮件流量信息，所述邮件流量信息包括各待检测主机的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址与服务器的交互信息；

选择计算模块，用于根据获取到的邮件流量信息，选择符合预设条件的IP地址，并计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值，所述选择计算模块，具体用于计算在所述设定时间内每个待检测主机的IP地址的入流量与出流量的平均速率、该IP地址与服务器交互的平均个数和该IP地址与服务器交互的平均次数；判断该IP地址的入流量与出流量的平均速率的比值是否小于第一阈值、该IP地址与服务器交互的平均个数是否大于第二阈值和该IP地址与服务器交互的平均次数是否大于第三阈值；若判断出均为是时，选出该IP地址；所述可能性度量值表征待检测主机是僵尸主机的目标阈值；

判断模块，用于依次判断计算出的每个IP地址的可能性度量值是否大于第四阈值；

确定模块，用于在判断模块判断为是时，则将该IP地址所对应的待检测主机确定为僵尸主机。

5.如权利要求4所述的装置，其特征在于，所述获取模块，具体用于获取所述设定时间内所述网络中所有主机的流量信息；从所述流量信息中，选择邮件收发端口所对应的主机的流量信息，并将其作为各待检测主机的邮件流量信息。

6.如权利要求4所述的装置，其特征在于，所述选择计算模块，具体用于针对选择出的IP地址中的每个IP地址，使用下述公式计算该IP地址对应的待检测主机的可能性度量值M：M=(a/5+b/5+c/5+d/5+e/5)×5，其中，