[发明专利]一种僵尸网络的检测方法、系统和设备

权利要求书

1.一种僵尸网络的检测方法，其特征在于，所述方法包括：

接收待测网络的通信报文；

根据所述通信报文提取所述通信报文的僵尸网络报文信息，具体包括：将所述通信报文 与规则库中获取的规则进行规则匹配，如果匹配成功，所述通信报文为僵尸网络报文，提取 所述僵尸网络报文中的僵尸网络报文信息；

根据所述僵尸网络报文信息，提取僵尸主机IP和控制者IP，缓存所述僵尸主机IP和控制 者IP，并根据所述僵尸主机IP和控制者IP提取僵尸网络报文特征，将所述僵尸网络报文特征 转化为规则，存入所述规则库中；

根据所述提取的僵尸主机IP和控制者IP，查询所述僵尸主机IP和控制者IP对应的账号，并 保存所述僵尸主机IP、控制者IP及查询到的所述僵尸主机IP和控制者IP对应的账号。

2.如权利要求1所述的方法，其特征在于，所述根据所述僵尸网络报文信息，提取僵尸 主机IP和控制者IP包括：

从所述僵尸网络报文信息中的规则返回值和数据流的传输方向的不同确定本地IP和远端 IP是僵尸主机还是控制者。

3.如权利要求1所述的方法，其特征在于，所述接收待测网络的通信报文包括：

接收待检测的IP地址列表；

对所述IP地址列表中的IP地址进行监控，获取源地址或目的地址为所述IP地址的通信报 文。

4.如权利要求3所述的方法，其特征在于，

所述IP地址的通信报文具体为IP地址的僵尸网络报文，所述IP地址的通信报文的信息 为僵尸网络报文信息；

相应地，所述根据所述僵尸网络报文信息，提取僵尸主机IP和控制者IP包括：

对所述僵尸网络报文信息进行僵尸网络行为统计分析，根据僵尸主机与控制者的网络行 为不同于正常用户的网络行为，识别出其中的僵尸主机及其控制者，得到僵尸主机IP和控制 者IP。

5.如权利要求1所述的方法，其特征在于，所述接收待测网络的通信报文包括：

根据源IP、目的IP、源端口、目的端口、报文协议通过远程抓包获取待测网络中对应的 通信报文。

6.一种僵尸网络的检测系统，其特征在于，所述系统包括：网络探针、监控分析中心、 Radius服务器和数据库；

所述网络探针，用于接收待测网络的通信报文，根据所述通信报文提取所述通信报文的 僵尸网络报文信息，具体包括：将所述通信报文与规则库中获取的规则进行规则匹配，如果 匹配成功，所述通信报文为僵尸网络报文，提取所述僵尸网络报文中的僵尸网络报文信息；

所述监控分析中心，用于根据所述僵尸网络报文信息，提取僵尸主机IP和控制者IP，缓 存所述僵尸主机IP和控制者IP，并根据所述僵尸主机IP和控制者IP提取僵尸网络报文特征，将 所述僵尸网络报文特征转化为规则，存入所述规则库中；

所述Radius服务器，用于根据所述监控分析中心提取的僵尸主机IP和控制者IP，查询所述 僵尸主机IP和控制者IP对应的账号；

所述数据库，用于保存所述僵尸主机IP、控制者IP及查询到的所述僵尸主机IP和控制者IP 对应的账号。

7.如权利要求6所述的系统，其特征在于，所述监控分析中心包括：判断模块；

所述判断模块，用于从所述僵尸网络报文信息中的规则返回值和数据流的传输方向的不 同判断本地IP和远端IP是僵尸主机还是控制者，从而确定僵尸主机IP和控制者IP。

8.如权利要求6所述的系统，其特征在于，所述网络探针包括：接收模块和提取模块；

所述接收模块，用于接收待检测的IP地址列表，并对所述IP地址列表中的IP地址进行监 控，获取源地址或目的地址为所述IP地址的通信报文；

所述提取模块，用于将所述IP地址的通信报文确定为所述IP地址的僵尸网络报文，所述 通信报文的信息为僵尸网络报文信息。