[发明专利]基于NICKNAME关联规则挖掘的IRC僵尸网络检测方法

权利要求书

1.一种基于NICKNAME关联规则挖掘的IRC僵尸网络检测方法，其特征在于，包括以下步骤：

步骤1：在honeywall上对进出honeynet的所有流量进行实时分析，从中获取IRC协议的NICK字段的内容，即为IRC僵尸主机的NICKNAME样本，并存入IRC NICKNAME样本库；

步骤2：将NICKNAME按照多个项目进行分解，确定项目信息，其中所述多个项目包括国家、操作系统、分隔符、随机数；

步骤3：从所有的IRC NICKNAME样本即交易数据集中找出所有的高频项集，所述高频是指某一项集出现的频率相对于所有交易而言，达到预定水平；

步骤4：从步骤3生成的高频项集中产生关联规则，每一个规则都有一个信赖度，若某一规则所求得的信赖度大于等于预先设定的最小信赖度，则称此规则为NICKNAME关联规则；

步骤5：将生成的NICKNAME关联规则实时加入到部署在网络出口处的入侵检测系统IDS特征库中，如果所检测的数据包内容中含有与关联规则匹配的内容，则判定会话内容发起方为IRC僵尸主机，对端为C&C服务器，否则为正常流量。

2.根据权利要求1所述的方法，其特征在于，所述步骤1中，利用正则表达式“.*NICK(？<any>.*)/n”，从流量中获取IRC协议的NICK字段内容，作为IRC僵尸主机的NICKNAME样本，所述IRC NICKNAME样本库的表结构为<TIME，honeypotIP，NICKNAME>。

3.根据权利要求1所述的系统，所述最小信赖度由用户自行设定。