[发明专利]基于HTTP首个问答包聚类分析的僵尸网络检测装置

说明书

基于HTTP首个问答包聚类分析的僵尸网络检测装置涉及信息技术领域。本发明由HTTP头部字段统计特征提取模块、僵尸网络流量记录模块、请求包及响应包内容获取模块、特征向量提取模块、聚类模块、特征码生成模块和规则生成器组成；其中特征码生成模块由单特征码生成器、特征码合并器和特征码修剪器组成；本发明不依赖于先验知识，也无需大量人工介入，可以自动从HTTP僵尸网络流量中抽取生成高质量的特征码。该特征码检测可以加入到入侵检测系统用于快速广泛的僵尸网络威胁感知以及僵尸网络家族分类，实现广泛且快速的僵尸主机发现。

技术领域

本发明涉及信息技术领域，特别是信息安全技术领域。

背景技术

僵尸网络经过多年的发展演进，HTTP协议由于其良好的业务承载能力及边界防御的穿透能力，已经成为了当今僵尸网络主流的控制协议之一。典型的垃圾邮件僵尸网络，如Rustock、Kelihos等，以及典型的窃密僵尸网络，如Spyeye、Tinba等，均采用HTTP协议进行CC通信。目前对HTTP协议的僵尸网络的检测装置中，基于数据流统计特征和基于数据包的深度检查是最常见的两类方式。

基于数据流统计特征的方式不依赖具体内容，可检测加密的通信流量，但由于缺少载荷内容，无法生成特征码，检测效果依赖统计特征的选取。例如：面向Domain-Flux类型僵尸网络的流量特征检测方式，该方式检查主机在DNS查询方面是否存在异常，异常点包括：主机请求是否存在群体性特征、域名的字符分布是否存在异常、是否存在大量DNS请求失败。基于数据流统计特征的方式可有效降低传统检测方法的高误报率，在大规模网络环境下可以做到实时检测。但该方式的缺点在于必须基于持续的流量特征，无法识别随机化CC通信行为。

基于数据包的深度检查对语义内容进行详细检查，准确度较高，但难以检测加密通信，CC协议特征的提取往往要耗费大量人力和时间开销。例如：对于硬编码的User-Agent字段特征检测方式，对存在错误或非浏览器生成的User-Agent字段特征进行提取，用于对僵尸网络的检测。该方式能快速发现具备该特征通信的僵尸网络，但是缺点是对于加密通信的僵尸网络无法检测，且提取User-Agent字段特征需要准备大量样本和分析错误类型，整体工作耗时耗力。

本发明以HTTP僵尸网络为对象，提出一种面向HTTP首个会话问答包聚类分析的僵尸网络检测装置，该发明综合了数据流和数据包检测的优点，平衡了检测开销和准确率。

该发明通过提取HTTP会话问答包的特征进行僵尸网络检测，不依赖持续的流量分析，可检测随机CC通信；不依赖固定内容，可检测通信内容加密的僵尸网络。

同时，该发明采用聚类算法对问答包进行特征码提取，该方法不依赖于先验知识，也无需大量人工介入，可以自动从HTTP僵尸网络流量中抽取生成高质量的特征码。该特征码检测可以加入到入侵检测系统用于快速广泛的僵尸网络威胁感知以及僵尸网络家族分类，实现广泛且快速的僵尸主机发现。

名词解释

CC指命令与控制，CC服务器指命令与控制服务器，CC通信指命令与控制的信息通信。

IP四元组包括：源IP、目的IP、目的端口、协议。

发明内容

鉴于现有技术的不足，本发明提供基于HTTP首个问答包聚类分析的僵尸网络检测装置，由HTTP头部字段统计特征提取模块、僵尸网络流量记录模块、请求包及响应包内容获取模块、特征向量提取模块、聚类模块、特征码生成模块和规则生成器组成；其中特征码生成模块由单特征码生成器、特征码合并器和特征码修剪器组成；

HTTP头部字段统计特征提取模块，输入截获的HTTP流量，对以IP四元组为标识的HTTP请求包和HTTP响应包中的四种参数进行比较，四种参数包括：请求行路径长度、请求参数、路径层数、参数数目；将四种参数完全一致的HTTP流量判断为同一僵尸网络的流量；