[发明专利]一种僵尸主机的检测方法及装置

说明书

技术领域

本发明涉及网络通信安全领域，尤其涉及一种僵尸主机的检测方法及装置。

背景技术

所谓的僵尸网络(botnet)，是采用一种或多种传播手段，将大量主机感染僵尸程序(bot程序)，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。它是一种新型攻击方式，为攻击者提供了隐匿、灵活且高效的一对多命令与控制机制，通过传播僵尸程序来控制大量僵尸主机，从而实现信息窃取、分布式拒绝服务攻击和垃圾邮件发送等攻击目的。

鉴于僵尸主机带来的危害性，目前，通常采用蜜网技术、异常行为检测技术、IRC协议解析还原等技术来检测僵尸主机。具体地，采用蜜网技术检测僵尸主机的处理流程为：首先构造蜜网(所谓蜜网是有蜜罐拓扑组成的网络，蜜罐是一些伪装成易于被攻击的目标主机)；然后在一定的时间周期内，搜集网络中的攻击流量，统计这些流量的特征：例如流量的峰值大小、以及流量的平均速率等；最后根据这些流量特征来匹配出现有网络下的攻击行为，进而判断攻击方是否被僵尸等病毒程序所控制，在是的情况下，此攻击方就被检测出是僵尸主机。

采用异常行为技术检测僵尸主机的处理流程为：首先需要在网络中构建蠕虫、病毒、等攻击特征数据库；然后检测网络中的异常行为，并将检测出的异常行为与构建的攻击特征数据库进行匹配，来进一步判断攻击方的攻击行为，从而检测出僵尸主机。

从上述这两种检测方式可以看出，采用前者的检测方式，虽然可以检测出网络中的攻击方(即僵尸主机)，但是只能被动的接收网络中的攻击流量，这就造成检测不够及时，并且检测出的准确率较差；采用后者的检测方式，由于需要事先知道攻击方的特征及行为，才能构建出攻击特征数据库，这就造成检测具有一定的滞后性，仍然存在检测不及时，且检测准确率较差的问题。

发明内容

本发明实施例提供了一种僵尸主机的检测方法及装置，用以解决现有僵尸主机的检测方式准确率低且及时性较差的问题。

基于上述问题，本发明实施例提供的一种僵尸主机的检测方法，包括：

获取设定时间内网络中各待检测主机的邮件流量信息，所述邮件流量信息包括各待检测主机的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址与服务器的交互信息；

根据获取到的邮件流量信息，选择符合预设条件的IP地址，并计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值；所述预设条件通过下述方式实现：计算在所述设定时间内每个待检测主机的IP地址的入流量与出流量的平均速率、该IP地址与服务器交互的平均个数和该IP地址与服务器交互的平均次数；判断该IP地址的入流量与出流量的平均速率的比值是否小于第一阈值、该IP地址与服务器交互的平均个数是否大于第二阈值和该IP地址与服务器交互的平均次数是否大于第三阈值；若判断出均为是时，选出该IP地址；所述可能性度量值表征待检测主机是僵尸主机的目标阈值；

判断计算出的每个IP地址的可能性度量值是否大于第四阈值，若是，则将该IP地址所对应的待检测主机，确定为僵尸主机。

本发明实施例提供的一种僵尸主机的检测装置，包括：

获取模块，用于获取设定时间内网络中各待检测主机的邮件流量信息，所述邮件流量信息包括各待检测主机的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址与服务器的交互信息；

选择计算模块，用于根据获取到的邮件流量信息，选择符合预设条件的IP地址，并计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值，所述选择计算模块，具体用于计算在所述设定时间内每个待检测主机的IP地址的入流量与出流量的平均速率、该IP地址与服务器交互的平均个数和该IP地址与服务器交互的平均次数；判断该IP地址的入流量与出流量的平均速率的比值是否小于第一阈值、该IP地址与服务器交互的平均个数是否大于第二阈值和该IP地址与服务器交互的平均次数是否大于第三阈值；若判断出均为是时，选出该IP地址；所述可能性度量值表征待检测主机是僵尸主机的目标阈值；

判断模块，用于判断计算出的每个IP地址的可能性度量值是否大于第四阈值；

确定模块，用于在判断模块判断为是时，则将该IP地址所对应的待检测主机，确定为僵尸主机。