[发明专利]僵尸网络检测方法、装置和系统有效
申请号: | 200910206068.4 | 申请日: | 2009-10-20 |
公开(公告)号: | CN102045214A | 公开(公告)日: | 2011-05-04 |
发明(设计)人: | 蒋武 | 申请(专利权)人: | 成都市华为赛门铁克科技有限公司 |
主分类号: | H04L12/26 | 分类号: | H04L12/26;H04L29/06;H04L29/12 |
代理公司: | 北京同立钧成知识产权代理有限公司 11205 | 代理人: | 刘芳 |
地址: | 611731 四川*** | 国省代码: | 四川;51 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 僵尸 网络 检测 方法 装置 系统 | ||
1.一种僵尸网络检测方法,其特征在于,包括:
利用自爆发环境获取僵尸工具样本的控制主机的地址信息;
向流量分析设备发送用于获取与所述控制主机连接的僵尸主机的地址信息的查询请求消息,所述查询请求消息包括所述控制主机的地址信息;
接收所述流量分析设备返回的查询响应消息,所述查询响应消息包括与所述控制主机连接的僵尸主机的地址信息。
2.根据权利要求1所述的僵尸网络检测方法,其特征在于,所述控制主机的地址信息包括控制主机的域名信息和端口信息,或者包括控制主机的IP地址和端口信息,或者包括控制主机的域名信息、IP地址和端口信息。
3.根据权利要求1所述的僵尸网络检测方法,其特征在于,所述僵尸主机的地址信息包括僵尸主机的IP地址和端口信息。
4.根据权利要求1所述的僵尸网络检测方法,其特征在于,所述控制主机连接的僵尸主机的地址信息是根据所述控制主机的DNS应答信息获取的。
5.根据权利要求1所述的僵尸网络检测方法,其特征在于,还包括:
根据所述控制主机的地址信息以及所述僵尸主机的地址信息构建僵尸网络的网络拓扑结构。
6.一种僵尸网络检测装置,其特征在于,包括:
地址获取模块,用于利用自爆发环境获取僵尸工具样本的控制主机的地址信息;
发送模块,用于向流量分析设备发送用于获取与所述控制主机连接的僵尸主机的地址信息的查询请求消息,所述查询请求消息包括所述控制主机的地址信息;
接收模块,用于接收所述流量分析设备返回的查询响应消息,所述查询响应消息包括与所述控制主机连接的僵尸主机的地址信息。
7.根据权利要求6所述的僵尸网络检测装置,其特征在于,所述控制主机的地址信息包括控制主机的域名信息和端口信息,或者包括控制主机的IP地址和端口信息,或者包括控制主机的域名信息、IP地址和端口信息。
8.根据权利要求6所述的僵尸网络检测装置,其特征在于,所述僵尸主机的地址信息包括僵尸主机的IP地址和端口信息。
9.根据权利要求6所述的僵尸网络检测装置,其特征在于,还包括:
构建模块,用于根据所述控制主机的地址信息以及所述僵尸主机的地址信息构建僵尸网络的网络拓扑结构。
10.一种僵尸网络检测系统,其特征在于,包括如权利要求6-9任一所述的僵尸网络检测装置和流量分析设备,所述流量分析设备用于在接收到所述查询请求消息后根据控制主机的DNS应答信息获取与其连接的僵尸主机的地址信息。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于成都市华为赛门铁克科技有限公司,未经成都市华为赛门铁克科技有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/200910206068.4/1.html,转载请声明来源钻瓜专利网。