[发明专利]僵尸网络检测系统及其方法

权利要求书

1.一种僵尸网络检测方法，包括：

取得一电脑设备的一网络记录档；

依据该电脑设备的一设备开机时间状态记录以及一网络白名单以过滤该网络记录档以得到多个个别网络记录档，其中各个别网络记录档是记录一时间信息、该电脑设备的一来源网络地址、及一个别目的网络地址；以及

分析各个别网络记录档中该来源网络地址连线至该个别目的网络地址的多个时间间隔以决定该电脑设备是否出现被一僵尸网络恶意程序所植入后的症状，

该僵尸网络检测方法，还包括：

计算该多个时间间隔的一平均数及一标准差；

依据该平均数及该标准差计算各个别网络记录档一连线频率特征值，其中该连线频率特征值是等于该标准差除以该平均数；

判断各个别网络记录档的该连线频率特征值是否小于一预定阈值；

若各个别网络记录档的该连线频率特征值大于该预定阈值，判断该电脑设备无被该僵尸网络恶意程序所植入后的症状；以及

若各个别网络记录档的该连线频率特征值小于该预定阈值，判断该电脑设备有被该僵尸网络恶意程序所植入后的症状。

2.一种僵尸网络检测系统，包括：

一存储器单元，用以储存一僵尸网络检测程序；以及

一处理单元，用以取得一电脑设备的一网络记录档，并执行该僵尸网络检测程序以分析该网络记录档，

其中该处理单元是依据该电脑设备的一设备开机时间状态记录以及一网络白名单以过滤该网络记录档以得到多个个别网络记录档，且各个别网络记录档是记录一时间信息、该电脑设备的一来源网络地址、及一个别目的网络地址，

其中该处理单元更分析各个别网络记录档中该来源网络地址连线至该个别目的网络地址的多个时间间隔以决定该电脑设备是否出现被该僵尸网络恶意程序所植入后的症状，

其中该处理单元更计算该多个时间间隔的一平均数及一标准差，并依据该平均数及该标准差计算各个别网络记录档一连线频率特征值，且该连线频率特征值是等于该标准差除以该平均数，

其中该处理单元更判断各个别网络记录档的该连线频率特征值是否小于一预定阈值，

其中若各个别网络记录档的该连线频率特征值大于该预定阈值，该处理单元是判断该电脑设备无被该僵尸网络恶意程序所植入后的症状，若各个别网络记录档的该连线频率特征值小于该预定阈值，该处理单元是判断该电脑设备有被该僵尸网络恶意程序所植入后的症状。