[发明专利]僵尸网络检测方法、装置以及网络安全防护设备

权利要求书

1.一种僵尸网络检测方法，其特征在于，包括：

根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息；

对疑似僵尸主机的行为特性进行分析以识别僵尸主机和僵尸控制主机。

2.根据权利要求1所述的僵尸网络检测方法，其特征在于，所述根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息包括：

获取待检测网络中的主机发送的第一数据包中的关键字信息；

对所述关键字信息和预先存储的关键字列表进行匹配处理；

当所述匹配结果超过预设的阈值时，识别所述用户设备为疑似僵尸主机，所述第一数据包的目标主机为疑似僵尸控制主机。

3.根据权利要求2所述的僵尸网络检测方法，其特征在于，所述关键字列表中至少包括一种如下的关键字类型：

操作系统平台、CPU类型、内存、MAC地址。

4.根据权利要求1所述的僵尸网络检测方法，其特征在于，所述对疑似僵尸主机的行为特性进行分析以识别僵尸主机包括：

对疑似僵尸主机的行为特征进行监测，若疑似僵尸主机实施了僵尸主机行为则识别所述疑似僵尸主机为僵尸主机。

5.根据权利要求1所述的僵尸网络检测方法，其特征在于，僵尸主机行为包括分布式拒绝服务攻击DDOS行为、垃圾邮件SPAM行为、扫描行为或恶意下载行为中的至少一项，

6.一种僵尸网络检测装置，其特征在于，包括：

获取模块，用于根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息；

行为分析模块，用于对疑似僵尸主机的行为特性进行分析以识别僵尸主机和僵尸控制主机。

7.根据权利要求6所述的僵尸网络检测装置，其特征在于，所述获取模块包括：

第一获取单元，用于获得待检测网络中的主机发送的第一数据包中的关键字信息；

匹配单元，用于对所述关键字信息和预先存储的关键字列表进行匹配处理；

第一识别单元，用于当所述匹配结果超过预设的阈值时，识别所述用户设备为疑似僵尸主机，所述第一数据包的目标主机为疑似僵尸控制主机。

8.根据权利要求6所述的僵尸网络检测装置，其特征在于，所述行为分析模块包括：

监控单元，用于对疑似僵尸主机的行为特征进行监测；

第二识别单元，用于当疑似僵尸主机实施了僵尸主机行为时，识别所述疑似僵尸主机为僵尸主机，所述僵尸主机行为包括分布式拒绝服务攻击DDOS行为、垃圾邮件SPAM行为、扫描行为或恶意下载行为中的至少一项。

9.一种网络安全防护设备，其特征在于，包括权利要求6-8任一所述的僵尸网络检测装置。

10.根据权利要求9所述的网络安全防护设备，其特征在于，所述网络安全防护设备为深度报文检测DPI设备、统一威胁管理UTM设备或防火墙FW设备。