[发明专利]一种基于Netflow及DNS日志的僵尸网络检测方法有效
| 申请号： | 201610993499.X | 申请日： | 2016-11-10 |
| 公开（公告）号： | CN106657001B | 公开（公告）日： | 2019-12-13 |
| 发明（设计）人： | 刘洋 | 申请（专利权）人： | 广州赛讯信息技术有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06;H04L29/12 |
| 代理公司： | 11221 北京捷诚信通专利事务所(普通合伙) | 代理人： | 王卫东 |
| 地址： | 510000 广东省广州市天河区陂东*** | 国省代码： | 广东;44 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明公开了一种基于Netflow和DNS日志的僵尸网络检测方法，包括：通过异常流量监测技术对采集到的Netflow数据进行五元组关联分析，分析出运营商网络的被感染主机的IP地址、被感染主机的IP地址所发起的攻击目标的IP地址以及攻击特征；在DNS服务器上，采集DNS查询请求日志,对多个被感染主机的IP地址在攻击运营商网络期间所发起的域名请求情况进行关联分析，查找到共性域名访问记录并排除正常的共性域名，得到FFSN动态恶意域名。本发明可快速定位FFSN动态恶意域名，极大的提高了FFSN动态恶意域名的定位精度与实效性，降低了误判率。 | ||
| 搜索关键词： | 一种 基于 netflow dns 日志 僵尸 网络 检测 方法 | ||
【主权项】：
1.一种基于Netflow和DNS日志的僵尸网络检测方法，其特征在于，包括以下步骤：/n通过异常流量监测技术对采集到的Netflow数据进行五元组关联分析，快速分析出运营商网络的被感染主机的IP地址、被感染主机的IP地址所发起的攻击目标的IP地址以及攻击特征；/n在DNS服务器上，采集DNS查询请求日志,对多个被感染主机的IP地址在攻击运营商网络期间所发起的域名请求情况进行关联分析，查找到共性域名访问记录并排除正常的共性域名，得到FFSN动态恶意域名；/n其中，通过对所述DNS查询请求日志的请求域名字段进行切分，各字段分别代表：时间戳|源IP|请求域名|域名解析IP|解析类型，提取获得多个被感染用户的IP地址在发起攻击期间所访问的域名集合以及基于DNS查询请求的时间序列分析出多个被感染用户的IP地址的域名访问路径，从而查找到僵尸网络。/n
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于广州赛讯信息技术有限公司，未经广州赛讯信息技术有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201610993499.X/，转载请声明来源钻瓜专利网。
