[发明专利]一种僵尸网络检测方法、装置及处理器

权利要求书

1.一种僵尸网络检测方法，其特征在于，包括：

计算网络内各个数据流的通信行为特征值，所述通信行为特征值包括：平均每包字节数和平均每秒字节数；

根据所述通信行为特征值进行聚类，将所述各个数据流对应的节点划分为多个通信聚类组，其中每个通信聚类组内的节点具有类似的通信行为，且所述每个通信聚类组中包含的节点数量满足预设的第一阈值；并且，根据各个节点的攻击行为进行聚类，将所述各个节点划分为多个攻击聚类组，其中每个攻击聚类组内的节点产生的攻击行为类似；

确定产生攻击行为的所述节点为可疑节点，分别计算各个可疑节点所属的通信聚类组和攻击聚类组的交叉度，并获取所述交叉度满足门限值的可疑节点；

获取由所述各个交叉度满足门限值的可疑节点构建的各个通信聚类组和攻击聚类组，并获取各个所述通信聚类组和攻击聚类组中相同的可疑节点，并在所述相同的可疑节点的数量满足预设的第二阈值时，确定所述可疑节点为僵尸节点，所述僵尸节点组成的网络为僵尸网络。

2.根据权利要求1所述的方法，其特征在于，计算网络内各个数据流的通信行为特征值之前，还包括：

获取网络内的各个数据流后，过滤其中从外部主机发往内部主机的数据流；

根据预设的白名单，过滤传输至所述白名单的数据流，所述白名单为已知的合法的IP地址。

3.根据权利要求1所述的方法，其特征在于，所述根据所述通信行为特征值进行聚类，将所述各个数据流对应的节点划分为多个通信聚类组，包括：

获取所述各个数据流的平均每包字节数，并根据所述平均每包字节数，采用平均值聚类法对所述各个数据流进行聚类计算，在获取聚类结果后，保留其中包含的数据个数满足预设值的各个分组，作为第一类型分组；

获取所述各个第一类型分组，并根据每个数据流对应的所述平均每秒字节数，采用平均值聚类法对所述各个第一类型分组中的数据流进行聚类计算，在获取聚类结果后，保留其中包含的数据个数满足第一阈值的各个分组，作为第二类型分组；

获取所述第二类型分组中的各个数据流对应的节点，并根据所述第二类型分组的分组情况，根据所述节点构建相应的通信聚类组。

4.根据权利要求1所述的方法，其特征在于，所述根据各个节点的攻击行为进行聚类，将所述各个节点划分为多个攻击聚类组，包括：

获取所述各个节点产生的攻击行为的类型，并根据所述类型对所述各个节点进行分组，作为第三类型分组；

获取各个所述第三类型分组，并根据所述第三类型分组中的各个节点的行为特征，对所述各个第三类型分组继续划分，根据划分结果获取攻击聚类组。

5.一种僵尸网络检测装置，其特征在于，包括：

特征值计算模块，用于计算网络内各个数据流的通信行为特征值，所述通信行为特征值包括：平均每包字节数和平均每秒字节数；

聚类模块，用于根据所述通信行为特征值进行聚类，将所述各个数据流对应的节点划分为多个通信聚类组，其中每个通信聚类组内的节点具有类似的通信行为，且所述每个通信聚类组中包含的节点数量满足预设的第一阈值；并且，根据各个节点的攻击行为进行聚类，将所述各个节点划分为多个攻击聚类组，其中每个攻击聚类组内的节点产生的攻击行为类似；

交叉聚类模块，用于确定产生攻击行为的所述节点为可疑节点，分别计算各个可疑节点所属的通信聚类组和攻击聚类组的交叉度，并获取所述交叉度满足门限值的可疑节点；

检测模块，用于获取由所述各个交叉度满足门限值的可疑节点构建的各个通信聚类组和攻击聚类组，并获取各个所述通信聚类组和攻击聚类组中相同的可疑节点，并在所述相同的可疑节点的数量满足预设的第二阈值时，确定所述可疑节点为僵尸节点，所述僵尸节点组成的网络为僵尸网络。

6.根据权利要求5所述的装置，其特征在于，所述僵尸网络检测装置还包括：过滤模块，所述过滤模块包括：

第一过滤单元，用于计算网络内各个数据流的通信行为特征值之前，获取网络内的各个数据流后，过滤其中从外部主机发往内部主机的数据流；

第二过滤单元，用于根据预设的白名单，过滤传输至所述白名单的数据流，所述白名单为已知的合法的IP地址。