[发明专利]基于NICKNAME关联规则挖掘的IRC僵尸网络检测方法

摘要

本发明提出一种IRC僵尸网络检测方法，属于网络通信安全领域。以IRC僵尸网络为对象，选取其命令与控制过程中的NICK关键协议字段NICKNAME作为指标，将NICKNAME的国家、操作系统等不同字段进行分解，利用关联规则方法自动生成IRC僵尸主机的NICKNAME特征，通过对可疑NICKNAME的判定检测IRC僵尸网络。本方法对已知和新型但符合关联规则的IRC僵尸网络具有检测能力，适用于在安全检测精度要求高的中小型规模网络中实时检测IRC僵尸网络。另外，挖掘出的NICKNAME关联规则可为Snort、RealSecure等安全检测工具提供专用于IRC僵尸网络检测的特征库。

主权项

一种基于NICKNAME关联规则挖掘的IRC僵尸网络检测方法，其特征在于，包括以下步骤：步骤1：在honeywall上对进出honeynet的所有流量进行实时分析，从中获取IRC协议的NICK字段的内容，即为IRC僵尸主机的NICKNAME样本，并存入IRC NICKNAME样本库；步骤2：将NICKNAME按照多个项目进行分解，确定项目信息，其中所述多个项目包括国家、操作系统、分隔符、随机数；步骤3：从所有的IRC NICKNAME样本即交易数据集中找出所有的高频项集，所述高频是指某一项集出现的频率相对于所有交易而言，达到预定水平；步骤4：从步骤3生成的高频项集中产生关联规则，每一个规则都有一个信赖度，若某一规则所求得的信赖度大于等于预先设定的最小信赖度，则称此规则为NICKNAME关联规则；步骤5：将生成的NICKNAME关联规则实时加入到部署在网络出口处的入侵检测系统IDS特征库中，如果所检测的数据包内容中含有与关联规则匹配的内容，则判定会话内容发起方为IRC僵尸主机，对端为C&C服务器，否则为正常流量。