[发明专利]僵尸网络检测方法、装置和系统

说明书

技术领域

本发明涉及网络安全技术领域，特别涉及一种僵尸网络检测方法、装置和系统。

背景技术

僵尸网络(Botnet)是只采用一种或者多种传播手段，将大量主机感染僵尸工具Bot程序，从而在控制者和被感染主机之间形成一个可一对多控制的网络，其中僵尸工具Bot是robot(机器人)的缩写，其可执行预定义的功能，可以被预定义的命令所远程控制、并具有一定人工智能的程序，僵尸主机就是指含有僵尸工具或者其他远程控制程序，使其可被攻击者远程控制的计算机。

僵尸网络构成一个攻击平台，利用这个平台可以发起各种各样的网络攻击行为，从而导致整个基础信息网络或者重要应用系统瘫痪，也可以导致大量机密或者个人隐私泄露，还可以被用来从事网络欺诈等其他违法犯罪活动，利用Botnet可以发起分布式拒绝服务攻击(Distribution Denial of service，以下简称：DDOS)、发送垃圾邮件、窃取机密、滥用资源等网络攻击行为，这些行为无论对整个网络还是用户自身都造成了严重的后果。

目前僵尸网络有多种网络拓扑结构，其中一种网络拓扑结构为多级控制的树状拓扑结构，另一种网络拓扑结构是一种基于IRC(Internet Relay Chat，因特网中继交谈)协议实现的僵尸网络，其控制者在I RC服务器上创建通信频道，僵尸主机登陆IRC服务器并加入控制者事先创建的频道，等待控制者发起指令，控制者在IRC指定频道上发指令，僵尸主机收到指令后执行指令，并发起攻击。另外还有一种存在基于点对点(P2P)结构的僵尸网络。

现有技术中对僵尸网络的检测，一种是通过蜜罐等手段获Bot程序样本，采用逆向工程等恶意代码分析手段，获得隐藏在代码中的登录Botnet所需要的相关信息，使用定制的僵尸程序登录到僵尸网络中去，进一步采取应对措施；二是通过研究僵尸计算机行为的网络流量变化，使用离线和在线的两种分析方法，就可以实现对僵尸网络的判断。

发明人在实现本发明的过程中发现，现有技术中不能实时对僵尸网络进行监控，生成僵尸网络的拓扑结构。

发明内容

本发明实施例的目的是提供一种僵尸网络检测方法、装置和系统，能够实现实时对僵尸网络进行监控，生成僵尸网络的拓扑结构。

为实现上述目的，本发明实施例提供了一种僵尸网络检测方法，包括：

利用自爆发环境获取僵尸工具样本的控制主机的地址信息；

向流量分析设备发送用于获取与所述控制主机连接的僵尸主机的地址信息的查询请求消息，所述查询请求消息包括所述控制主机的地址信息；

接收所述流量分析设备返回的查询响应消息，所述查询响应消息包括与所述控制主机连接的僵尸主机的地址信息。

本发明还提供了一种僵尸网络检测装置，包括：

地址获取模块，用于利用自爆发环境获取僵尸工具样本的控制主机的地址信息；

发送模块，用于向流量分析设备发送用于获取与所述控制主机连接的僵尸主机的地址信息的查询请求消息，所述查询请求消息包括所述控制主机的地址信息；

接收模块，用于接收所述流量分析设备返回的查询响应消息，所述查询响应消息包括与所述控制主机连接的僵尸主机的地址信息。

本发明实施例还提供了一种僵尸网络检测系统，包括上述的僵尸网络检测装置和流量分析设备，所述流量分析设备用于在接收到所述查询请求消息后根据控制主机的DNS应答信息获取与其连接的僵尸主机的地址信息。

本发明实施例提供的僵尸网络检测方法、装置和系统，通过在获取到僵尸工具样本后，利用自爆发环境获取僵尸工具样本的控制主机的地址信息，然后向流分析设备发送查询请求消息，在接收到的流量分析设备返回的查询响应消息中包括上述的控制主机控制的僵尸主机的地址信息，从而能够实时的获取僵尸网络的相关信息，构建僵尸网络的拓扑结构。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1本发明僵尸网络检测方法实施例的流程示意图；

图2为本发明僵尸网络检测装置实施例的结构示意图；

图3为本发明僵尸网络检测系统实施例的结构示意图；

图4为本发明具体实施例中僵尸网络检测方法的流程图；

图5为本发明具体实施例中僵尸网络检测系统的装置示意图。

具体实施方式