[发明专利]僵尸网络检测方法、装置以及网络安全防护设备

说明书

技术领域

本发明实施例涉及网络安全技术领域，特别涉及一种僵尸网络检测方法、装置以及网络安全防护设备。

背景技术

僵尸网络(Botnet)是采用一种或者多种传播手段，将大量主机感染僵尸工具Bot程序，从而在控制者和被感染主机之间形成一个可一对多控制的网络，其中僵尸工具Bot是robot的缩写，其可执行预定义的功能，可以被预定义的命令所远程控制、并具有一定人工智能的程序。僵尸主机就是指含有僵尸工具或者其他远程控制程序，使其可被攻击者远程控制的计算机。

僵尸网络构成一个攻击平台，利用这个平台可以发起各种各样的网络攻击行为，从而导致整个基础信息网络或者重要应用系统瘫痪，也可以导致大量机密或者个人隐私泄露，还可以被用来从事网络欺诈等其他违法犯罪活动。例如，利用Botnet可以发起DDOS、发送垃圾邮件、窃取机密、滥用资源等网络攻击行为，这些行为无论对整个网络还是用户自身都造成了严重的后果。

目前僵尸网络主要有两种网络拓扑结构，其中一种网络拓扑结构如图1所示，其为多级控制的树状拓扑结构，在该网络拓扑结构下，控制者开放监听端口，僵尸主动向控制者的监听端口发起连接，向控制者通报自己，控制者主动连接上级控制者的监听端口，向上级控制者通报自己，控制者向僵尸主机指令，僵尸主机执行控制者指令，发起攻击。该网络拓扑结构下的特点是，多台僵尸主机会向同一台控制者的相同端口发起连接，僵尸主机一般会定时向控制者通信，控制者同一时间会向多台僵尸主机发相同指令。

图2给出了第二种网络拓扑结构，这是一种基于IRC协议实现的僵尸网络，其控制者在IRC服务器上创建通信频道，僵尸主机登陆IRC服务器并加入攻击者事先创建的频道，等待控制者发起指令，控制者在IRC指定频道上发指令，僵尸主机收到指令后执行指令，并发起攻击。基于IRC协议实现的僵尸网络具有如下的特征，僵尸计算机一般会长时间在线，僵尸计算机作为一个IRC服务器的聊天用户在聊天频道内长时间不发言。另外还存在基于P2P结构的僵尸网络。

现有技术中对僵尸网络的检测通常有两种，一种是样本分析的方法，即通过蜜罐等手段获取僵尸工具Bot程序样本，采用逆向工程等恶意代码分析手段，获得隐藏在代码中的登录Botnet所需要的相关信息，使用定制的僵尸程序登录到僵尸网络中去，进一步采取应对措施；二是网络特征检测的方法，即通过研究僵尸计算机获取协议规则，然后根据DPI技术进行检测，这种方法也是需要先获取僵尸工具程序样本。

发明人在实现本发明的过程中发现：上述的检测方法均需要获得僵尸工具程序样本，并且只能检测已知的僵尸网络。

发明内容

本发明实施例的目的是提供一种僵尸网络检测方法、装置以及网络安全防护设备，以实现对未知僵尸网络的检测。

为实现上述目的，本发明实施例提供了一种僵尸网络检测方法，包括：

根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息；

对疑似僵尸主机的行为特性进行分析以识别僵尸主机和僵尸控制主机。

本发明实施例还提供了一种僵尸网络检测装置，包括：

获取模块，用于根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息；

行为分析模块，用于对疑似僵尸主机的行为特性进行分析以识别僵尸主机和僵尸控制主机。

本发明实施例还提供了一种网络安全防护设备，包括上述的僵尸网络检测装置。

本发明实施例提供的僵尸网络检测方法、装置以及网络安全防护设备，通过对待检测网络中的主机发送的第一数据包进行关键字分析，根据关键字信息确认疑似僵尸主机和疑似僵尸控制主机，然后再对疑似僵尸主机的行为进行监控，若其实施了僵尸主机行为中的一种，则可确认该主机为僵尸主机，该僵尸主机发送的第一数据包的目标主机为僵尸控制主机，通过上述的检测方法，能够有效的发现未知的僵尸网络中的僵尸主机及僵尸控制主机。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中一种僵尸网络的拓扑结构；

图2为现有技术中第二种僵尸网络的拓扑结构；

图3为本发明僵尸网络检测方法实施例一的流程示意图；

图4为本发明僵尸网络检测方法实施例二的流程示意图；