[发明专利]一种僵尸网络的检测方法、系统和设备有效

专利信息
申请号: 200810149039.4 申请日: 2008-09-18
公开(公告)号: CN101360019A 公开(公告)日: 2009-02-04
发明(设计)人: 李安坤 申请(专利权)人: 华为技术有限公司
主分类号: H04L12/26 分类号: H04L12/26;H04L12/56;H04L29/06
代理公司: 北京三高永信知识产权代理有限责任公司 代理人: 何文彬
地址: 518129广东省*** 国省代码: 广东;44
权利要求书: 查看更多 说明书: 查看更多
摘要:
搜索关键词: 一种 僵尸 网络 检测 方法 系统 设备
【说明书】:

技术领域

发明涉及网络通信安全领域,特别涉及一种僵尸网络的检测方法、系统和设备。

背景技术

僵尸网络Botnet是采用一种或多种传播手段使大量主机感染僵尸Bot程序(僵尸工具), 从而在控制者和被感染主机(即僵尸主机)之间形成一个可一对多控制的网络。如图1所示 为Botnet的基本网络结构,攻击者通过控制者对僵尸主机进行控制。

目前的僵尸网络主要有两种网络拓扑结构:

参见图2,一种是多级控制的树状僵尸网络拓扑结构:由受害者、僵尸主机、控制者和攻 击者组成。其具体工作流程为:控制者开放端口;僵尸主机主动向控制者的监听窗口发起连 接,向控制者通报自己;控制者主动连接上级控制者的监听窗口,向上级控制者通报自己; 控制者向僵尸主机发指令,僵尸主机执行控制指令,发起攻击。该僵尸网络拓扑结构的行为 特征是:多台僵尸主机向同一台控制者的相同端口发起连接;僵尸主机一般会定时向控制者 通信。

参见图3,另一种是基于IRC协议实现的僵尸网络拓扑结构:由受害者、僵尸主机、IRC 服务器和攻击者组成。其具体的工作流程为:控制者在IRC服务器上创建通信频道;僵尸主机 登陆IRC服务器后自动加入控制者所创建的通信频道,等待控制者发起命令;控制者在IRC服 务器上指定的通信频道上发命令;僵尸主机收到命令,执行命令,发起攻击。该僵尸网络拓 扑结构的行为特征:僵尸主机一般会长时间在线;僵尸主机作为一个IRC服务器的聊天用户在 聊天频道内长时间不发言。

僵尸网络构成了一个攻击平台,利用这个平台可以有效地发起多种攻击行为,导致整个 基础信息网络或重要应用系统瘫痪、大量机密或个人隐私泄漏,还被用来从事网络欺诈等违 法犯罪活动。常见的利用Botnet发动的攻击行为如DDOS(Distributed Denial of Service,分布 式拒绝服务攻击)、发送垃圾邮件、窃取秘密、滥用资源,对整个网络和用户都造成了严重 的危害。随着各种新的攻击类型的出现,Botnet还可能被用来发起新的未知攻击。

目前缓解僵尸网络攻击威胁的技术主要是提前预防或对攻击事件的事后处理。通常是国 家网络安全监测部门在发现了某个大型站点或重要网络受到僵尸网络的攻击时,才开始 动员大量的人力及相关部门进行协查,需要经过很长时间才能真正找到僵尸网络的最终控制 者即攻击者和主要涉案人员,但是这段时间内所造成的经济损失是不可估量的。

目前对僵尸网络的检测主要有两种方法:

一、蜜罐技术。通过蜜罐等手段获得Bot程序样本,采用逆向工程等恶意代码分析手段, 获得隐藏在代码中的登陆Botnet所需要的相关信息,使用定制的僵尸程序登录到僵尸网络中 去,进一步采用应对措施。

二、网络流量研究。通过研究僵尸主机行为的网络流量变化(比如不同时间段的流量大 小),使用离线和在线的两种分析方法实现对僵尸网络的判断。

在对现有技术进行分析后,发明人发现:蜜糖技术不能实时地检测僵尸网络的通信报文, 也不能迅速而准确的定位僵尸网络及其操纵者;网络流量研究能实时地检测僵尸网络的通信 报文但不能实时地对僵尸网络作出响应。

发明内容

为了能够实时地检测出僵尸网络并能实时地对僵尸网络作出响应,本发明实施例提供了 一种僵尸网络的检测方法。所述技术方案如下:

一方面,提供了一种僵尸网络的检测方法,所述方法包括:

接收待测网络的通信报文;

根据所述通信报文提取所述通信报文的僵尸网络报文信息,具体包括:将所述通信报文 与规则库中获取的规则进行规则匹配,如果匹配成功,所述通信报文为僵尸网络报文,提取 所述僵尸网络报文中的僵尸网络报文信息;

根据所述僵尸网络报文信息,提取僵尸主机IP和控制者IP,缓存所述僵尸主机IP和控制 者IP,并根据所述僵尸主机IP和控制者IP提取僵尸网络报文特征,将所述僵尸网络报文特征 转化为规则,存入所述规则库中;

根据所述提取的僵尸主机IP和控制者IP,查询所述僵尸主机IP和控制者IP对应的账号,并 保存所述僵尸主机IP、控制者IP及查询到的所述僵尸主机IP和控制者IP对应的账号。

一方面,提供了一种僵尸网络的检测系统,所述系统包括:网络探针、监控分析中心和 Radius服务器和数据库;

下载完整专利技术内容需要扣除积分,VIP会员可以免费下载。

该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于华为技术有限公司,未经华为技术有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服

本文链接:http://www.vipzhuanli.com/pat/books/200810149039.4/2.html,转载请声明来源钻瓜专利网。

×

专利文献下载

说明:

1、专利原文基于中国国家知识产权局专利说明书;

2、支持发明专利 、实用新型专利、外观设计专利(升级中);

3、专利数据每周两次同步更新,支持Adobe PDF格式;

4、内容包括专利技术的结构示意图流程工艺图技术构造图

5、已全新升级为极速版,下载速度显著提升!欢迎使用!

请您登陆后,进行下载,点击【登陆】 【注册】

关于我们 寻求报道 投稿须知 广告合作 版权声明 网站地图 友情链接 企业标识 联系我们

钻瓜专利网在线咨询

周一至周五 9:00-18:00

咨询在线客服咨询在线客服
tel code back_top