[发明专利]僵尸网络检测系统及其方法

说明书

本发明是提供一种僵尸网络检测方法，该方法包括下列步骤：取得一电脑设备的一网络记录档；依据该电脑设备的一设备开机时间状态记录以及一网络白名单以过滤该网络记录档以得到多个个别网络记录档，其中各个别网络记录档是记录一时间信息、该电脑设备的一来源网络地址、及一个别目的网络地址；以及分析各个别网络记录档中该来源网络地址连线至该个别目的网络地址的多个时间间隔以决定该电脑设备是否出现被一僵尸网络恶意程序所植入后的症状。

技术领域

本发明涉及僵尸网络检测，特别涉及一种僵尸网络检测系统及其方法。

背景技术

传统上，检测僵尸网络可经由特征比对的方式。特征比对的方式是常由知名的防毒软件厂商所使用，然而一但僵尸网络的特征值改变，对于防毒软件来说即是一个全新的样本，进而导致检测失败。僵尸网络(Botnet)此词意指可独立且自动地执行恶意程序的代理主机(agent)，亦可意指被一或多个恶意程序植入的电脑主机的集合。举例来说，电脑主机被植入恶意程序可在一指令及控制架构(command-and-control infrastructure)之下经由网页浏览器的下载安装程序的漏洞、蠕虫(worm)、木马(Trojan horses)、或后门(backdoor)程序所植入。传统上，僵尸网络的拥有者会利用僵尸网络以发送垃圾邮件、发动阻断服务攻击(Denial of Service Attack)、或窃取敏感信息等等。

僵尸网络的拥有者可经由指令及控制服务器以远端控制其下的僵尸电脑。然而，要检测僵尸网络的指令及控制服务器所使用的通道相当困难，例如可利用HTTP协定以绕过防火墙、传送加密讯息、快速切换网域等等。

因此，需要一种简单而有效的僵尸网络检测系统及其方法以解决上述问题。

发明内容

本发明是提供一种僵尸网络检测方法，该方法包括下列步骤：取得一电脑设备的一网络记录档；依据该电脑设备的一设备开机时间状态记录以及一网络白名单以过滤该网络记录档以得到多个个别网络记录档，其中各个别网络记录档是记录一时间信息、该电脑设备的一来源网络地址、及一个别目的网络地址；以及分析各个别网络记录档中该来源网络地址连线至 该个别目的网络地址的多个时间间隔以决定该电脑设备是否出现被一僵尸网络恶意程序所植入的症状。

本发明是提供一种僵尸网络检测系统，包括：一存储器单元，用以储存一僵尸网络检测程序；以及一处理单元，用以取得一电脑设备的一网络记录档，并执行该僵尸网络检测程序以分析该网络记录档，其中该处理单元是依据该电脑设备的一设备开机时间状态记录以及一网络白名单以过滤该网络记录档以得到多个个别网络记录档，且各个别网络记录档是记录一时间信息、该电脑设备的一来源网络地址、及一个别目的网络地址，其中该处理单元更分析各个别网络记录档中该来源网络地址连线至该个别目的网络地址的多个时间间隔以决定该电脑设备是否出现被一僵尸网络恶意程序植入后的症状。

附图说明

图1是显示依据本发明一实施例中的僵尸网络检测系统的方块图。

图2A是显示依据本发明一实施例中的网络记录档的栏位的示意图。

图2是显示依据本发明一实施例中的过滤网络记录档的栏位的示意图。

图3A是显示依据本发明一实施例中的网络记录档的示意图。

图3B及3C是显示依据本发明一实施例中的个别网络记录档的示意图。

图4是显示依据本发明一实施例中的恶意程序检测方法。

附图标记说明：

100～僵尸网络检测系统；

110～处理单元；

120～存储器单元；

121～易失性存储器；

122～非易失性存储器；