[发明专利]一种僵尸网络检测方法、装置及处理器

说明书

技术领域

本发明涉及信息技术领域，特别是涉及一种僵尸网络检测方法、装置及处理器。

背景技术

僵尸网络Botnet是指采用一种或多种传播手段，使大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，从而组成一个僵尸网络。目前针对僵尸网络所开展的工作已经起步，存在一些检测算法，能够实现对僵尸网络的检测。

目前的僵尸网络检测算法，主要为蜜罐技术和基于特征的检测算法。其中，蜜罐技术指的是将未打补丁的蜜罐置于网络中，并监察其被感染的情况。蜜罐能够有效获得僵尸执行操作的详细信息，从而实现对僵尸节点的检测；基于特征的检测方法，是通过对僵尸网络的行为特征，实现对僵尸网络的检测。

但是，发明人在本申请的研究过程中发现，通过现有技术中的上述检测算法实现对僵尸网络的检测时，存在一定的局限性。例如，利用蜜罐技术实现对僵尸网络的检测时，一种蜜罐通常只能设置于相对应的一种运行环境中，因此只能吸引一种或一类僵尸网络；基于特征的检测方式，需要获取僵尸的行为特征，从而只能对已知的僵尸网络进行检测，无法检测出未知的僵尸网络。也就是说，现有的僵尸网络检测算法，只能对一种或一类僵尸网络进行检测，当僵尸网络的结构或者通信协议发生变化后，检测算法往往不能进行有效的检测。

发明内容

有鉴于此，本发明的目的在于提供为了解决现有的僵尸网络检测算法，只能对一种或一类僵尸网络进行检测，当僵尸网络的结构或者通信协议发生变化后，检测算法往往不能进行有效的检测的问题，本申请公开了一种僵尸网络检测方法、装置和处理器，具体实施方案如下：

一种僵尸网络检测方法，包括：

计算网络内各个数据流的通信行为特征值，所述通信行为特征值包括：平均每包字节数和平均每秒字节数；

根据所述通信行为特征值进行聚类，将所述各个数据流对应的节点划分为多个通信聚类组，其中每个通信聚类组内的节点具有类似的通信行为，且所述每个通信聚类组中包含的节点数量满足预设的第一阈值；并且，根据各个节点的攻击行为进行聚类，将所述各个节点划分为多个攻击聚类组，其中每个攻击聚类组内的节点产生的攻击行为类似；

确定产生攻击行为的所述节点为可疑节点，分别计算各个可疑节点所属的通信聚类组和攻击聚类组的交叉度，并获取所述交叉度满足门限值的可疑节点；

获取由所述各个交叉度满足门限值的可疑节点构建的各个通信聚类组和攻击聚类组，并获取各个所述通信聚类组和攻击聚类组中相同的可疑节点，并在所述相同的可疑节点的数量满足预设的第二阈值时，确定所述可疑节点为僵尸节点，所述僵尸节点组成的网络为僵尸网络。

优选的，计算网络内各个数据流的通信行为特征值之前，还包括：

获取网络内的各个数据流后，过滤其中从外部主机发往内部主机的数据流；

根据预设的白名单，过滤传输至所述白名单的数据流，所述白名单为已知的合法的IP地址。

优选的，所述根据所述通信行为特征值进行聚类，将所述各个数据流对应的节点划分为多个通信聚类组，包括：

获取所述各个数据流的平均每包字节数，并根据所述平均每包字节数，采用平均值聚类法对所述各个数据流进行聚类计算，在获取聚类结果后，保留其中包含的数据个数满足预设值的各个分组，作为第一类型分组；

获取所述各个第一类型分组，并根据每个数据流对应的所述平均每秒字节数，采用平均值聚类法对所述各个第一类型分组中的数据流进行聚类计算，在获取聚类结果后，保留其中包含的数据个数满足第一阈值的各个分组，作为第二类型分组；

获取所述第二类型分组中的各个数据流对应的节点，并根据所述第二类型分组的分组情况，根据所述节点构建相应的通信聚类组。

优选的，所述根据各个节点的攻击行为进行聚类，将所述各个节点划分为多个攻击聚类组，包括：

获取所述各个节点产生的攻击行为的类型，并根据所述类型对所述各个节点进行分组，作为第三类型分组；

获取各个所述第三类型分组，并根据所述第三类型分组中的各个节点的行为特征，对所述各个第三类型分组继续划分，根据划分结果获取攻击聚类组。

相应的，本发明还公开了一种僵尸网络检测装置，包括：

特征值计算模块，用于计算网络内各个数据流的通信行为特征值，所述通信行为特征值包括：平均每包字节数和平均每秒字节数；