[发明专利]一种僵尸网络分布式实时检测方法和系统

摘要

本发明公开了一种僵尸网络分布式实时检测方法和系统，包括：数据生成组件生成网络流量元数据Netflow信息，并发送给数据检测组件；数据检测组件的检测模型训练单元从经过标注的训练数据中提取多个训练检测特征，建立作为实时检测单元的检测标准的检测模型；数据检测组件的实时检测单元接收实时发送的Netflow信息，并提取多个检测特征，与上述检测模型进行比较，当比较结果匹配时，得出包括检测对象标识符的告警信息，将所述告警信息与主机黑白名单比较，得出确认受控僵尸主机和可疑受控僵尸主机。本发明的方案既可以应用在千兆流量的企业网，又可以应用到ISPs网络中；提高了僵尸网络检测的总体检测性能。

主权项

1.一种僵尸网络分布式实时检测方法，其特征在于，所述方法包括：数据生成组件接收网络流量生成网络流量元数据Netflow信息，并将所述Netflow信息发送给数据检测组件；所述数据检测组件的检测模型训练单元，从经过标注的训练数据中提取多个训练检测特征，基于所述训练检测特征，建立作为实时检测单元的检测标准的检测模型；所述数据检测组件的实时检测单元，接收所述数据生成组件实时发送的所述Netflow信息，基于所述Netflow信息提取多个检测特征，将所述检测特征与所述检测模型进行比较，当比较结果匹配时，得出包括检测对象标识符的告警信息，将所述告警信息与主机黑白名单相比较，得出确认受控僵尸主机和可疑受控僵尸主机；其中，所述检测模型的建立包括以下步骤：构建主机关系链训练子单元基于火花流Spark Stream分布式流处理引擎和所述训练数据，建立训练多级主机访问关系链；构建主机Netflow图谱训练子单元基于所述Spark Stream分布式流处理引擎和所述训练数据，建立训练主机Netflow图谱；基于统计的特征提取训练子单元分析所述训练主机访问关系链、所述训练主机Netflow图谱和所述Netflow信息，提取多个所述训练检测特征，形成多个训练检测特征向量；建立检测模型子单元基于所述多个训练检测特征向量建立所述检测模型。