[发明专利]一种僵尸网络识别的方法、装置、设备及存储介质

说明书

本发明公开了一种僵尸网络识别的方法、装置、设备及存储介质，具体包括：获取第一域名系统协议DNS日志数据；从第一DNS日志数据中，筛选满足预设条件的第二DNS日志数据；提取第二DNS日志数据的特征信息；对特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集；将至少一个聚类集作为僵尸网络，得到僵尸网络识别结果。根据本发明的方案，能够快速识别出疑似的僵尸网络，降低了对计算资源消耗，提升了数据处理速度。

技术领域

本发明属于计算机技术领域，尤其涉及一种僵尸网络识别的方法、装置、设备及计算机存储介质。

背景技术

僵尸网络是指采用一种或多种传播手段，将大量主机感染僵尸程序病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。其中，被感染主机即为僵尸主机。僵尸网络构成一个攻击平台，利用这个平台可以发起各种各样的网络攻击行为，从而导致某些应用系统的瘫痪、个人隐私的泄露等。

目前，现有技术中，很多僵尸网络识别方法可以完成对僵尸网络的识别检测，但是在需要处理大量日志数据的应用场景中，现有的方法需要进行大量运算分析，例如计算域名的支持度、置信度以及提升度、或者进行僵尸网络识别模型训练等等，才能完成识别。在需要处理日志数据量非常庞大时，现有方案需要消耗大量的计算资源，数据处理负载较大，工作效率较低。

发明内容

本发明实施例提供一种僵尸网络识别的方法、装置、设备及计算机存储介质，能够快速识别出疑似的僵尸网络，降低了对计算资源消耗，提升了数据处理速度，可以及时处理掉大量数据，提高工作效率较低。

第一方面，本发明实施例提供一种僵尸网络识别的方法，该方法包括：

僵尸网络识别的方法，其特征在于，包括：

获取第一域名系统协议DNS日志数据；

从所述第一DNS日志数据中，筛选满足预设条件的第二DNS日志数据；

提取所述第二DNS日志数据的特征信息；

对所述特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集；

将所述至少一个聚类集作为僵尸网络，得到僵尸网络识别结果。

可选地，对所述特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集，包括：

根据所述特征信息的目的域名信息和主机网际协议IP信息，确定目的域名信息与主机IP信息的对应关系；

根据所述对应关系，确定目标目的域名信息对应的主机IP信息的数量值；

当所述数量值达到所述预设数量阈值时，将所述目标目的域名信息对应的主机IP信息，形成所述目标目的域名信息对应的聚类集。

可选地，在所述对特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集之前，还包括：

根据所述第二DNS日志数据，确定预设时间段内的主机访问频次；

确定所述主机访问频次是否超过预设频次阈值；

所述对特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集，包括：

当所述主机访问频次超过所述预设频次阈值时，则对所述特征信息进行聚类的操作，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集。

可选地，所述将至少一个聚类集作为僵尸网络，得到僵尸网络识别结果之后，还包括：

将所述至少一个聚类集保存至数据库。