[发明专利]基于NetFlow的僵尸网络检测系统与检测方法

摘要

本发明提供一种基于NetFlow的僵尸网络检测系统包括数据采集模块、预处理模块、节点评估模块、拓扑发现模块以及相关性分析模块，节点评估模块通过分析函数Fbot(vi)得到数据流i对应的疑似僵尸网络概率Pboti；相关性分析模块绘制与分析以疑似僵尸网络概率Pboti为权重的数据流通信图，计算目标网络为僵尸网络的概率，如果大于设定阈值，目标网络为僵尸网络。本发明还提供一种僵尸网络检测方法。本发明结合了NetFlow流量分析的高效性，采用分析算法，计算得到每个节点与整个网络拓扑结构的威胁系数，结合目标网络具体的拓扑结构，对网络拓扑复杂、迁移性强、隐蔽性高、危害性大的僵尸网络进行准确的甄别。

主权项

一种基于NetFlow的僵尸网络检测系统，其特征在于，所述基于NetFlow的僵尸网络检测系统包括：数据采集模块，设置于目标网络的一个或多个节点，用于采集所述节点的NetFlow数据流；预处理模块，用于对所述数据采集模块采集的所述NetFlow数据流进行预处理；节点评估模块，用于通过分析函数Fbot(vi)得到第i个数据流对应的疑似僵尸网络概率Pboti，具体如下：设置规则集合Rule[M]，并计算每一条规则的权重，其中w[rulej]为第j条规则的权重，w[rulek]为第k条规则的权重，M为规则集合中的规则数；计算每一条规则在整个规则集合中所占的比例权重，第j条规则的比例权重为第j条规则的权重与所有规则权重和之比：Weight[rulej]=w[rulej]Σkw[rulek],k=1,2,...,M;]]>分析函数Fbot(vi)为对于第i个数据流，所有满足的规则的比例权重之和：Fbot(vi)＝∑jWeight[rulej]；计算第i个数据流对应的疑似僵尸网络概率Pboti：Pboti＝Fbot(vi)；拓扑发现模块，用于分析预处理后的NetFlow数据流，获得数据流向量，并绘制所有数据流向量组成的数据流通信图；相关性分析模块，用于绘制与分析以所述疑似僵尸网络概率Pboti为权重的数据流通信图，计算所述目标网络为僵尸网络的概率，如果所述概率大于设定阈值，所述目标网络为僵尸网络；所述数据采集模块、所述预处理模块、所述节点评估模块、所述拓扑发现模块与所述相关性分析模块连接。