[发明专利]基于NetFlow的僵尸网络检测系统与检测方法

说明书

技术领域

本发明涉及计算机网络安全领域的僵尸网络检测方法，尤其涉及一种基于NetFlow的僵尸网络综合检测系统与检测方法。

背景技术

计算机网络是当今社会最为重要的信息设施，随着计算机网络的高速发展，网络安全问题逐渐引起人们的广泛关注。僵尸网络(Botnet)是指攻击者(BotOwner)制造并传播僵尸程序以控制大量节点(通常所说的僵尸机或肉鸡)，利用命令和控制(Command and Control，C&C)通道组织成的网络，僵尸网络经常被用于发起分布式拒绝服务(Distributed Denial-of-Service，DDoS)攻击、发送垃圾邮件、传播或托管恶意代码和钓鱼网站，或者实施身份信息与商业机密窃取等攻击。

近年来，僵尸网络已对计算机网络安全和社会经济构成了极大的威胁，成为网络安全领域的重要问题，僵尸网络攻击相关的网络刑事案件也频频出现于各种媒体之上。

总体看来，现今的僵尸网络普遍具有更新快、规模扩大迅速的特点，有些僵尸网络甚至通过产生大量的垃圾流量以绕过检测机制，传统的基于异常行为的僵尸网络检测技术，在大数据环境下，难以保证准确与快速。

现有的基于网络通信监测的僵尸网络检测技术和方法，大多是基于僵尸网络C&C通信常用的IRC和HTTP协议的分析，以及对僵尸网络感染节点的攻击等异常行为的检测，并不能快速、准确地检测僵尸网络。

本领域的技术人员致力于开发一种僵尸网络检测系统与检测方法，

发明内容

有鉴于现有的僵尸网络检测系统和检测方法的缺陷，本发明提供了一种基于NetFlow的僵尸网络检测系统，能够快速、准确地检测僵尸网络，以保证网络安全。

本发明还提供了一种基于NetFlow的僵尸网络检测方法。

NetFlow是一种数据交换方式，NetFlow技术主要源于流技术的提出，是Flow技术的典型代表。其工作原理是：NetFlow利用标准的交换模式处理数据流的第一个IP包数据，生成NetFlow缓存，随后同样的数据基于缓存信息在同一个数据流中进行传输，不再匹配相关的访问控制等策略，NetFlow缓存同时包含了随后数据流的统计信息。

基于Netflow的以上特性，因此NetFlow技术在实际网络中得到广泛应用。主要应用在流量监控、流量计费、用户监控、网络规划和安全分析及监控等方面。

本发明提供了一种基于NetFlow的僵尸网络检测系统与检测方法，利用NetFlow在异常流量分析中的高效、快速、便捷的优势，实现在网络拓扑结构复杂、平均负载较高的环境中对高隐蔽性、高危害性的僵尸网络的检测和跟踪，在保证准确性的前提下，大幅度提高速度与效率。

本发明提供一种基于NetFlow的僵尸网络检测系统包括：

数据采集模块，设置于目标网络的一个或多个节点，用于采集节点的NetFlow数据流；

预处理模块，用于对数据采集模块采集的NetFlow数据流进行预处理；

节点评估模块，用于通过分析函数F_bot(v_i)得到第i个数据流对应的疑似僵尸网络概率Pbot_i；

拓扑发现模块，用于分析预处理后的NetFlow数据流，获得数据流向量，并绘制所有数据流向量组成的数据流通信图；

相关性分析模块，用于绘制与分析以疑似僵尸网络概率Pbot_i为权重的数据流通信图，计算目标网络为僵尸网络的概率，如果概率大于设定阈值，目标网络为僵尸网络；

数据采集模块、预处理模块、节点评估模块、拓扑发现模块与相关性分析模块连接。

进一步地，节点为网关节点或路由器节点。

进一步地，基于NetFlow的僵尸网络检测方法包括如下步骤：

(1)设置于目标网络的多个节点的数据采集模块，采集节点的NetFlow数据流；

(2)预处理模块对数据采集模块采集的NetFlow数据流进行预处理；

(3)节点评估模块通过分析函数F_bot(v_i)得到第i个数据流对应的疑似僵尸网络概率Pbot_i；

(4)拓扑发现模块分析预处理后的NetFlow数据流，获得数据流向量，并绘制所有数据流向量组成的数据流通信图；