[发明专利]一种僵尸网络的检测方法及系统

权利要求书

1.一种僵尸网络的检测方法，其特征在于，所述方法包括：

获取历史网络数据，根据已知的僵尸网络流的特征及其负载信息，分析提取历史网络数据中涉及僵尸网络的特征向量；

其中，分析提取历史网络数据中涉及僵尸网络的特征向量包括，抽取选择包括协议、字节长度在内的若干个特征，将其向量化为122维特征向量，其中107维代表协议，15维代表其余15个特征，将特征向量的每一维归一化到[0,1]；

基于所述僵尸网络的特征向量，构建噪声模拟僵尸网络流模型，应用该模型可随机生成已知的各种类型的僵尸网络流以及多种僵尸网络复合流；

所述多种僵尸网络复合流包括同时具备若干种僵尸网络特征的数据流，或者时域上连续的若干种僵尸网络拼接成的数据流，或变异僵尸网络特征而成的数据流；

将所述噪声模拟僵尸网络流模型作为对抗性网络的生成器，所述生成器的输出不间断地与真实僵尸网络流一并送入判别器；

所述判别器根据两端输入的生成器输出和真实僵尸网络流，得出判别结果；如果判别结果为真时，表明生成器输出与真实僵尸网络流在特征向量上非常接近，判别器将相似度信息反馈给生成器；如果判别结果为假时，表明生成器输出与真实僵尸网络流在特征向量上差别很大，判别器将差别度信息、真实僵尸网络流的特征向量一并反馈给生成器；如果判别结果为异常时，表明生成器输出与真实僵尸网络流在特征向量上差别大于第一阈值且小于第二阈值，判别器将差别度信息、第一阈值和第二阈值一并反馈给生成器；

所述生成器根据判别器的反馈结果调整噪声模拟僵尸网络流模型的参数，再次生成新的输出；

当判别器得到的判别结果为真的比率大于预先设置的阈值时，表明所述噪声模拟僵尸网络流模型训练完毕；

将所述噪声模拟僵尸网络流模型接入机器学习模块，由所述噪声模拟僵尸网络流模型不间断随机生成网络僵尸网络，供机器学习模块自我学习；

所述机器学习模块借助所述噪声模拟僵尸网络流模型，不间断丰富各种网络僵尸网络特征向量样本，对真实网络流量进行僵尸网络检测，并将检测结果反馈给管理员，管理员可以定时根据检测结果调整所述噪声模拟僵尸网络流模型的参数，启动所述噪声模拟僵尸网络流模型的更新。

2.根据权利要求1所述的方法，其特征在于，所述变异僵尸网络特征而成的数据流，包括对已知的僵尸网络特征向量做扩展，以及修改若干僵尸网络的字段，进而再形成数据流。

3.根据权利要求1-2任一项所述的方法，其特征在于，所述判别器还会将判别的结果反馈给管理员，供管理员实时调整所述噪声模拟僵尸网络流模型的参数。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述判别器可以是僵尸网络检测器。