[发明专利]一种识别DDoS僵尸网络通信协议的方法及装置

权利要求书

1.一种识别DDoS僵尸网络通信协议的方法，其特征在于，该方法包括：

获取主机中运行的僵尸程序bot与服务器之间通信的命令报文和通信报文；

从获取的通信报文中确定每次攻击的攻击属性信息；

根据所述每次攻击中每类攻击的攻击属性信息，从获取的命令报文中确定攻击命令报文；

根据所述攻击命令报文和/或所述攻击属性信息，确定攻击指令报文特征信息。

2.如权利要求1所述的方法，其特征在于，所述获取主机中运行的僵尸程序bot与服务器之间通信的命令报文和通信报文，包括：

如果未发生C&C通信，且已确定C&C服务器，将所述bot与C&C服务器之间传输的报文作为命令报文，将所述bot与非C&C服务器之间传输的报文作为通信报文；

如果未发生C&C通信，且未确定C&C服务器，将所述bot与当前通信的服务器作为C&C服务器，并将所述bot与所述C&C服务器之间传输的报文作为命令报文，将所述bot与非C&C服务器之间传输的报文作为通信报文；

如果已经发生C&C通信，则将当前所述bot与服务器之间传输的报文中目的网际协议IP地址和目的端口和C&C通信报文中目的网际协议IP地址和目的端口相同的报文作为命令报文，将当前所述bot与服务器之间传输的报文中目的网际协议IP地址和目的端口和C&C通信报文中目的网际协议IP地址和目的端口不相同的报文作为通信报文。

3.如权利要求1所述的方法，其特征在于，所述根据所述每次攻击中每类攻击的攻击属性信息，从获取的命令报文中确定攻击命令报文，包括：

根据每次攻击中每类攻击的攻击属性信息将攻击行为开始之前最后一次收到的所述命令报文确定为攻击开始指令；

根据每次攻击中每类攻击的攻击属性信息将攻击行为停止之前最后一次收到的所述命令报文确定为攻击停止指令；

将所述攻击开始指令和所述攻击停止指令作为攻击命令报文。

4.如权利要求3所述的方法，其特征在于，所述攻击指令报文特征信息包括下列信息中的部分或全部：

报文类型字段的偏移和编码；

攻击类型字段的偏移和编码；

攻击目标与端口字段的偏移和编码；

特定攻击类型参数的偏移和编码。

5.如权利要求4所述的方法，其特征在于，所述根据所述攻击命令报文和/或所述攻击属性信息，确定攻击指令报文特征信息，包括：

确定所有攻击开始指令报文中同一字节偏移上相同的字节内容，并将确定的相同的字节内容和对应的字节偏移划分在攻击开始集合中，以及确定所有攻击停止指令报文中同一字节偏移上相同的字节内容，并将确定的相同的字节内容和对应的字节偏移划分在攻击停止集合中；

确定所述攻击开始集合和所述攻击停止集合中同一字节偏移上不同的字节内容以及所述不同的字节内容的字节数，并将确定的所述不同的字节内容、所述不同的字节内容的字节数以及所述不同的字节内容的字节偏移作为报文类型字段的偏移。

6.如权利要求4所述的方法，其特征在于，所述根据所述攻击命令报文和/或所述攻击属性信息，确定攻击指令报文特征信息，包括：

确定所有攻击开始指令报文中同一字节偏移上不同的字节内容，并将确定的不同的字节内容和对应的字节偏移划分在攻击开始补集中；

将所述攻击属性信息根据攻击类型相同但攻击目标不同进行归类，确定每类攻击对应的攻击开始指令和所述攻击开始补集中同一字节偏移上相同的字节内容，从所述相同的字节内容中确定出攻击类型字段，将确定的攻击类型字段，攻击类型字段的字节偏移以及攻击类型字段的字节数作为攻击类型字段的偏移和编码。

7.如权利要求4所述的方法，其特征在于，所述根据所述攻击命令报文和/或所述攻击属性信息，确定攻击指令报文特征信息，包括：

确定攻击目标和端口在所述攻击开始指令中的字节偏移以及包含的字节数，将确定的所述攻击目标和端口的字节偏移以及包含的字节数作为攻击目标和端口字段的偏移和编码；

所述攻击目标和端口包括以下部分或全部：

目的网际协议地址；目的端口；源网际协议地址；源端口。