[发明专利]一种僵尸群落分析方法及装置

权利要求书

1.一种僵尸群落分析方法，其特征在于，包括：

获取僵尸网络监测系统在设定时间范围产生的监测数据；

根据监测数据构建僵尸网络；

计算任意两个僵尸网络的相似系数；相似系数采用Jaccard系数算法进行计算，计算任意两个僵尸网络间相同的被感染主机IP数量，及两个僵尸网络中全部被感染主机IP数量，用前者除以后者，所得的值即为相似系数；

选取相似系数大于预先设定的相似系数阈值的相似关系；

根据相似关系构建僵尸群落，进行分析；

其中，根据相似关系构建僵尸群落，包括：

以任意一个相似关系的两个僵尸网络为顶点，构建一个僵尸群落，判断下一个相似关系中的两个僵尸网络是否至少有一个包括在已经构建的僵尸群落中，如果否，则由该相似关系中的两个僵尸网络顶点，构建一个新的僵尸群落；如果是，则进一步判断该相似关系中的两个僵尸网络是否都包括在已经构建的僵尸群落中；如果是，则保持已经构建的僵尸群落不变，如果否，则将没有包括在已经构建的僵尸群落中的僵尸网络加入到该僵尸群中。

2.如权利要求1所述的僵尸群落分析方法，其特征在于，构建僵尸网络后，将僵尸网络中控制的被感染主机数小于设定阈值的僵尸网络删除。

3.如权利要求1所述的僵尸群落分析方法，其特征在于，在监测数据中，每个控制端IP、及受该控制端IP控制的所有被感染主机IP构成一个僵尸网络。

4.如权利要求1、2或3所述的僵尸群落分析方法，其特征在于，选取僵尸群落中僵尸网络的数量大于等于设定的僵尸网络数量阈值的僵尸群落进行分析。

5.一种僵尸群落分析装置，其特征在于，包括：

监测数据获取模块，用于获取僵尸网络监测系统在设定时间范围产生的监测数据；

僵尸网络构建模块，用于根据监测数据构建僵尸网络；

相似系数计算模块，用于计算任意两个僵尸网络的相似系数；相似系数采用Jaccard系数算法进行计算，计算任意两个僵尸网络间相同的被感染主机IP数量，及两个僵尸网络中全部被感染主机IP数量，用前者除以后者，所得的值即为相似系数；

相似关系选取模块，用于选取相似系数大于预先设定的相似系数阈值的相似关系；

僵尸群落构建模块，用于根据相似关系构建僵尸群落，进行分析；

其中，僵尸群落构建模块，具体用于：

以任意一个相似关系的两个僵尸网络为顶点，构建一个僵尸群落，判断下一个相似关系中的两个僵尸网络是否至少有一个包括在已经构建的僵尸群落中，如果否，则由该相似关系中的两个僵尸网络顶点，构建一个新的僵尸群落；如果是，则进一步判断该相似关系中的两个僵尸网络是否都包括在已经构建的僵尸群落中；如果是，则保持已经构建的僵尸群落不变，如果否，则将没有包括在已经构建的僵尸群落中的僵尸网络加入到该僵尸群中。

6.如权利要求5所述的僵尸群落分析装置，其特征在于，所述僵尸群落分析装置还包括：

僵尸网络筛选模块，用于在构建僵尸网络后，将僵尸网络中控制的被感染主机数小于设定阈值的僵尸网络删除。

7.如权利要求5所述的僵尸群落分析装置，其特征在于，僵尸网络构建模块具体用于：

每个控制端IP、及受该控制端IP控制的所有被感染主机IP构成一个僵尸网络。

8.如权利要求5、6或7所述的僵尸群落分析装置，其特征在于，所述僵尸群落分析装置还包括：

僵尸群落选取模块，用于选取僵尸群落中僵尸网络的数量大于等于设定的僵尸网络数量阈值的僵尸群落进行分析。