[发明专利]僵尸网络控制节点的检测方法及装置

说明书

本发明公开了一种僵尸网络控制节点的检测方法及装置，其中，方法包括：根据当前僵尸网络控制节点的IP生成高频网段，以快速定位可疑网络控制节点位置；根据高频网段IP的端口当前状态得到初始可疑网络控制节点集合，并与预设的常用端口列表得到可疑网络控制节点列表；根据可疑网络控制节点列表过滤获取高可疑网络控制节点列表；根据高可疑网络控制节点列表和僵尸网络家族的端口列表进行匹配和协议探测；根据分类结果对高可疑网络控制节点列表的高可疑网络控制节点进行协议校验；根据家族协议获取相应僵尸网络家族的网络控制节点。该方法对僵尸网络控制节点加速自动化主动分析探测，探测更多未知的僵尸网络控节点，提高探测效率，提高扫描效率。

技术领域

本发明涉及计算机应用技术领域，特别涉及一种僵尸网络控制节点的检测方法及装置。

背景技术

实现自动化僵尸网络监控过程需要三个步骤，首先，家族识别和家族通讯协议逆向分析；其次，自动化监控、协议分析脚本；最后，僵尸网络控制节点批量输入进行批量自动化监控。当完成前两步后，需要输入更多的活跃僵尸网络控制节点，才能实现单家族僵尸网络密集监控，产出更多的监控数据。

通过VirusTotal获取被探测到的样本进行样本提取以获取僵尸网络控制节点。通过样本提取僵尸网络控制节点是比较快的方式，但是，由于VirusTotal不可能确保完全捕获最新出现的同家族样本，也就无法完全获取最新的僵尸网络控制节点，而一般的网络控制节点探测方法耗时长，准确率低。因此，需要研发快速、准确探测僵尸网络控制节点的方法，获取更多同家族的未知僵尸网络控制节点。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的一个目的在于提出一种僵尸网络控制节点的检测方法，该方法可以有效提高探测效率，提高扫描效率。

本发明的另一个目的在于提出一种僵尸网络控制节点的检测装置。

为达到上述目的，本发明一方面实施例提出了一种僵尸网络控制节点的检测方法，包括以下步骤：根据当前僵尸网络控制节点的IP(Internet Protocol，网络之间互连的协议)生成高频网段，并对所述高频网段的每个IP发送SYN数据包，以确定所述每个IP的端口的当前状态；根据所述每个端口的当前状态得到初始可疑网络控制节点集合，并根据所述初始可疑网络控制节点集合与预设的常用端口列表得到可疑网络控制节点列表；根据所述可疑网络控制节点列表建立TCP(Transmission Control Protocol，传输控制协议)连接，以获取高可疑网络控制节点列表；根据所述高可疑网络控制节点列表和僵尸网络家族的端口列表进行匹配和协议探测，以进行家族关联分类；根据所述分类结果对所述高可疑网络控制节点列表的高可疑网络控制节点进行协议校验，以识别家族协议；根据所述家族协议获取相应家族的僵尸网络控制节点。

本发明实施例的僵尸网络控制节点的检测方法，通过对僵尸网络控制节点进行加速自动化主动分析探测，以探测更多的未知的僵尸网络控节点，从而根据监控到的数据进行自动化分析，挖掘更多的威胁情报，实现威胁情报态势感知，有效提高探测效率，提高扫描效率。

另外，根据本发明上述实施例的僵尸网络控制节点的检测方法还可以具有以下附加的技术特征：

进一步地，在本发明的一个实施例中，所述根据所述每个端口的当前状态得到初始可疑网络控制节点集合，进一步包括：根据所述每个IP的端口的当前状态得到所述每个IP的开放端口数；判断所述每个IP的开放端口数是否大于预设端口数；如果大于所述预设端口数，则剔除；如果小于所述预设端口数，则获取对应开放端口的低可疑网络控制节点的集合，以得到所述初始可疑网络控制节点集合。