[发明专利]僵尸网络的检测方法、装置及检测系统

说明书

技术领域

本发明涉及通信技术领域，具体涉及一种僵尸网络的检测方法、装置及检测系统。

背景技术

僵尸网络(Botnet)，是指采用一种或多种传播手段，将大量主机感染僵尸(bot)程序，从而在控制者和被感染主机(可简称：僵尸或肉机)之间形成的一个可一对多控制的网络。

互联网中继聊天(IRC，Internet Relay Chat)协议是一种基于文本的用于实现网络即时聊天的应用层协议。基于IRC协议的网络通信模式通常是客户端/服务器模式，客户端可在IRC服务器上创建IRC通信频道，其它客户端可以加入该客户端创建的IRC通信频道，并在该IRC通信频道进行聊天通信。

僵尸网络按照拓扑结构可以分为树状僵尸网络和星型僵尸网络。其中，基于IRC协议的僵尸网络(以下可简称IRC僵尸网络)通常是一种星型僵尸网络，参见图1，IRC僵尸网络的攻击方式通常如下：

(1)控制者(黑客)在IRC服务器上创建通信频道；

(2)僵尸(肉机)登陆IRC服务器并加入控制者事先创建的通信频道；

(3)控制者在事先创建的通信频道上发布攻击指令；

(4)僵尸监听并接收攻击指令，发起攻击。

可以理解，僵尸网络的存在将极大的威胁网络用户的信息安全，故而网络中的安全防护设备需要尽可能快速准确的检测出僵尸网络，以便于对其进行严密监控和摧毁。

在现有技术中，主要是通过包匹配来检测IRC僵尸网络，具体是获取来自IRC僵尸网络频道的恶意程序(样本)，通过分析该样本获得基于该样本产生的报文的特征库，该特征库包含非常具体的报文特征。利用该特征库，能够精确的检测出来自对应IRC僵尸网络频道的报文，例如，当接收到来自IRC通信频道的报文后，将其和特征库的特征进行匹配，若其符合特征库中的特征，则确定该IRC通信频道为IRC僵尸网络频道。其中，确定出IRC僵尸网络频道，也就相当于确定出了IRC僵尸网络。

在对现有技术的研究和实践过程中，发明人发现，现有技术通过包匹配来检测IRC僵尸网络，首先需要做大量的样本分析，形成包含具体报文特征的特征库，但样本的获取通常十分困难，使得该检测方式的实现难度相对较大；且该方式通常不能检测出未获得样本的IRC僵尸网络频道，使得适用场景相对有限。

发明内容

本发明实施例提供一种僵尸网络的检测方法、装置及检测系统，能够相对快速准确的检测出多种僵尸网络，可适用多种场景；且实现方式相对简单。

为解决上述技术问题，本发明实施例提供以下技术方案：

一种僵尸网络的检测方法，包括：

获取网络流量中部分或全部互联网中继聊天IRC通信频道的报文；查找所述获取的各个IRC通信频道的报文包含的异常关键字；分别统计对应各个IRC通信频道查找出的所述异常关键字的数量，将在设定时长内统计出的异常关键字的数量超过设定阈值的IRC通信频道，确定为疑似IRC僵尸网络频道；验证所述疑似IRC僵尸网络频道是否为IRC僵尸网络频道。

一种僵尸网络的检测装置，包括：

获取模块，用于获取网络流量中部分或全部IRC通信频道的报文；

查找模块，用于查找所述获取模块获取的各个IRC通信频道的报文包含的异常关键字；

统计确定模块，用于分别统计所述查找模块对应各个IRC通信频道查找出的所述异常关键字的数量，将在设定时长内统计出的异常关键字的数量超过设定阈值的IRC通信频道，确定为疑似IRC僵尸网络频道；

验证模块，用于验证所述统计确定模块确定的所述疑似IRC僵尸网络频道是否为IRC僵尸网络频道。

一种检测系统，包括：

如上述实施例所述的僵尸网络的检测装置。

由上可见，本发明实施例采用的技术方案具有如下有益效果：通过查找和分别统计来自各个IRC通信频道的报文包含的异常关键字，将在设定时长内统计出的异常关键字的数量超过设定阈值的IRC通信频道，确定为疑似IRC僵尸网络频道，由于异常关键字容易确定且具有较好的普适性，故而采用上述方案能够相对快速准确的检测出多种僵尸网络，且实现方式相对简单。

附图说明

为了更清楚地说明本发明实施例和现有技术中的技术方案，下面将对实施例和现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是现有技术提供的一种IRC僵尸网络的攻击示意图；

图2是本发明实施例一提供的一种僵尸网络的检测方法流程图；