[发明专利]僵尸网络相似性度量的训练和测试方法及相应系统

权利要求书

1.一种僵尸网络相似性度量的训练方法，包括：

步骤1)、从僵尸网络数据中提取僵尸网络的通讯量，由所述通讯量计算通讯量单位周期函数，得到通讯量单位周期曲线，进而计算所要比较的僵尸网络的通讯量单位周期曲线距离；

步骤2)、从僵尸网络数据中提取僵尸网络的通讯量以及被控主机的个数，由所述通讯量以及被控主机的个数计算通讯频率，得到通讯频率单位周期函数以及该函数所对应的通讯频率单位周期曲线，进而计算所要比较的僵尸网络的通讯频率单位周期曲线距离；

步骤3)、从僵尸网络数据中提取被控主机的IP地址，对被控主机的IP地址做聚集操作，得到僵尸网络的被控主机集合，由所要比较的僵尸网络的被控主机集合计算所述所要比较的僵尸网络的被控主机重叠率；

步骤4)、由所述通讯量单位周期曲线距离、通讯频率单位周期曲线距离以及被控主机重叠率生成相似性度量函数。

2.根据权利要求1所述的僵尸网络相似性度量的训练方法，其特征在于，所述的步骤1)包括：

步骤1-1)、从僵尸网络数据中提取若干时间长度内各个单位时间的通讯量，并将这些单位时间的通讯量做累加，计算所述时间长度内通讯量的平均值；

步骤1-2)、由所述通讯量的平均值得到僵尸网络的通讯量单位周期函数；

步骤1-3)、由所要比较的僵尸网络的通讯量单位周期函数得到通讯量单位周期曲线，计算所述曲线间的距离。

3.根据权利要求2所述的僵尸网络相似性度量的训练方法，其特征在于，在所述的步骤1-3)中，所述的计算所述曲线间的距离采用欧氏距离计算法、DTW距离计算法、LB_Keogh距离计算法以及LB_PAA距离计算法中的一种。

4.根据权利要求1所述的僵尸网络相似性度量的训练方法，其特征在于，所述的步骤2)包括：

步骤2-1)、将单位时间的通讯数据按照时间顺序分成若干份，计算每一份数据中不同IP的个数，从而得到关于被控主机的数量随时间变化的函数；

步骤2-2)、根据僵尸网络数据计算通讯量随时间变化的函数，由所述通讯量随时间变化的函数以及被控主机的数量随时间变化的函数计算通讯频率单位周期函数；

步骤2-3)、由通讯频率单位周期函数得到通讯频率单位周期曲线，进而计算所要比较的僵尸网络的通讯频率单位周期曲线间的距离。

5.根据权利要求4所述的僵尸网络相似性度量的训练方法，其特征在于，在所述的步骤2-1)中，从所得到的不同IP的个数中减去那些通讯时间跨度超过阈值的IP的个数。

6.根据权利要求4所述的僵尸网络相似性度量的训练方法，其特征在于，在所述的步骤2-3)中，所述的计算所要比较的僵尸网络的通讯频率单位周期曲线间的距离采用欧氏距离计算法、DTW距离计算法、LB_Keogh距离计算法以及LB_PAA距离计算法中的一种。