[发明专利]监测僵尸网络攻击行为的方法、装置、设备和存储介质

说明书

本公开实施例公开了一种监测僵尸网络攻击行为的方法、装置、电子设备和存储介质，方法包括：根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址；控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令；实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息，能通过设定终端实时接收和解析僵尸网络的远控服务器发送的控制指令，能够对僵尸网络进行长期监测。

技术领域

本公开实施例涉及网络安全技术领域，具体涉及一种监测僵尸网络攻击行为的方法、装置、电子设备和存储介质。

背景技术

僵尸网络是指攻击者利用一对多的控制信道，通过控制大量的主机形成的恶意网络。通过僵尸网络可以进行不同形式的网络攻击行为：(1)发起分布式拒绝服务攻击(DDos，distributed denial of service),利用僵尸网络发起的DDoS攻击难以追踪溯源且危害性巨大；(2)发送垃圾邮件，例如Rustock僵尸网络，平均每天可以发送300亿垃圾邮件；(3)窃取敏感信息、占用网络流量资源、耗费系统性能；(4)形成恶意软件发布平台，黑客利用僵尸网络不断地进行不同攻击手段的尝试，形成新的攻击手段，对网络中的主机造成很大程度的危害。

目前针对于僵尸网络的检测，主要侧重于根据流量发现网络异常行为，根据特征进行攻击行为检测，而没有形成一个僵尸网络的长期监测能力。

发明内容

有鉴于此，本公开实施例提供一种监测僵尸网络攻击行为的方法、装置、电子设备和存储介质，实时接收和解析僵尸网络的远控服务器发送的控制指令，以对僵尸网络进行长期监测。

本公开实施例的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开实施例的实践而习得。

第一方面，本公开实施例提供了一种监测僵尸网络攻击行为的方法，包括：

根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址，其中所述控制指令信息至少包括控制指令的编码方式信息、以及用于与所述远控服务器建立连接的连接请求指令；

控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令，以使所述设定终端加入所述僵尸网络以模拟所述僵尸网络的受控肉鸡；

通过所述设定终端的所述通信端口实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息。

于一实施例中，根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址包括：

获取通过蜜罐节点捕获的恶意样本；

对所述恶意样本进行逆向分析，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址。

于一实施例中，根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息包括：

根据逆向分析结果确定所述恶意样本所属的样本家族，从预存信息中获取所述样本家族的通信协议，根据所述样本家族的通信协议获取所述恶意样本所属的僵尸网络的控制指令信息。

于一实施例中，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址包括：

根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息和攻击方的互联网协议地址IP；

根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息，根据所述情报信息确定所述僵尸网络通信端口和所述僵尸网络的远控服务器的地址。