[发明专利]一种基于云服务的实时僵尸网络检测方法

摘要

本发明公开了一种基于云服务的实时僵尸网络检测方法，包括数据采集、数据分析判别、制作僵尸网络肉机IP地址黑名单和向硬件防火墙和数据采集系统分发黑名单等步骤。本发明相比现有技术具有以下优点：利用ElasticSearch云远远超出单个服务器的计算和存储能力处理海量采样数据，利用僵尸网络短时间、大流量的攻击特点，使用DBSCAN聚类算法，找出目标数据类别，提取IP地址，能够快速筛查出僵尸网络肉机的IP地址，使用Simhash和DJBhash对样本字段信息进行加工，获得可用数据用于标记样本数据库，帮助简化计算流程，识别效率大大提升。

主权项

一种基于云服务的实时僵尸网络检测方法，其特征在于步骤如下：步骤一、数据采集，通过数据采集系统采集硬件防火墙受到的攻击行为的原始数据，并上传至ElasticSearch云系统储存；步骤二、数据分析，利用ElasticSearch云系统，使用DBSCAN算法对步骤一中上传至ElasticSearch云系统的数据进行处理，将处理结果中数据中类别最多的一类数据定义为僵尸网络类别，僵尸网络类别的聚类数据称为模板数据，比对模板数据和原始数据，获得僵尸网络类别的源IP数组；步骤三、提取僵尸网络类别的源IP数组中僵尸网络肉机的IP地址，制作黑名单储存于ElasticSearch云系统中；步骤四、将ElasticSearch云系统中储存的黑名单分发到硬件防火墙和数据采集系统。