[发明专利]一种基于小流统计分析的对等僵尸主机识别方法

权利要求书

1.一种基于小流统计分析的对等僵尸主机识别方法，其特征在于分为两步：

（1）小流过滤阶段：根据主机网络数据流的小流特性选择出可疑的主机数据流，该阶段往往能滤除网络中百分之九十以上的流量，以此来降低下一步处理的流量输入量和提升处理效率；

在此阶段，根据特定(IP，Port)对上在检测数据集时段内的所有Netflow流的统计特征进行提取、分析和计算，以此提取可疑的(IP，Port)对，并保留与之相关的Netflow流，削减了大部分的网络流量；

（2）僵尸主机识别阶段：对可疑主机流依据时间序列上的统计相似性来识别僵尸主机，本方法输入为一段时间内的目标网络边界收集到的Netflow流网络流数据，输出为目标网络中被识别为僵尸主机的IP地址列表；

在此阶段，对小流过滤阶段得出的每个（IP，Port），计算其在多个连续等长时窗内流集合的平均包长统计分布，并对分布间的差异进行量化，最终形成该(I P，Port)在检测时间段内分布相似率，若该相似率超过设定阈值，则被判定为对等僵尸主机。

2.根据权利要求1所述的基于小流统计分析的对等僵尸主机识别方法，其特征在于：所述小流过滤阶段通过流集提取过程实现Netflow流的统计特征提取；所述流集提取过程是各个流入流集Ci（IP，Port）和流出流集Co(IP，Port)的提取过程，即给定Netflow流量文件，对于所监测网络内的所有（IP，Port），分别提取相应的Ci（IP，Port）和Co(IP，Port)，并存储；其中所述流集是指一段时间内，某个（IP，Port）地址相关的所有Netflow流的集合；对于一个（IP，Port），有流入流集和流出流集之分，流入流集是指以给定（IP，Port）为目的地址的所有Netflow流的集合，记为Ci(IP，Port)；流出流集是指以给定（IP，Port）为源地址的所有Netflow流的集合，记为Co(IP，Port)。

3.根据权利要求2所述的基于小流统计分析的对等僵尸主机识别方法，其特征在于：所述小流过滤算法，是以所有的流入流集Ci(IP，Port)和流出流集Co(IP，Port)为输入，根据其流量统计特征来判断该流集是否为可疑僵尸交互流量，算法输出为可疑僵尸（IP，Port）列表；本算法中选用的流量统计特征如下：

（1）流集的规模，即流集中Netflow流的条数，记为fc（flow counts）；

（2）流集的平均包长，即流集中各条Netflow流的字节数之和除以各条

Netflow流的数据包数之和，记为fal（flow average length）；

所述小流即小型流集，满足流集规模小、流集平均包长小的特征，对等僵尸交互端口上的流入流集和流出流集均具有小流特性。

4.根据权利要求3所述的基于小流统计分析的对等僵尸主机识别方法，其特征在于：所述小流过滤算法，步骤如下：

（1）确定具有较小规模的本地（IP，Port）的流出流集；

（2）确定具有较小规模的本地（IP，Port）的流入流集；

（3）计算（1）中各流出流集的平均包长，不超过阈值的流出流集对应的（IP，Port）加入可疑列表1；

（4）计算（2）中各流出流集的平均包长，不超过阈值的流出流集对应的（IP，Port）加入可疑列表2；

（5）既在可疑列表1中，又在可疑列表2中的（IP，Port）加入算法输出的可疑列表中。

5.根据权利要求4所述的基于小流统计分析的对等僵尸主机识别方法，其特征在于：确定具有较小规模的流入流集和流出流集具体如下：实际流量中流集的规模统计分布呈现重尾分布，而可疑流集均处于长尾之处，采用基于最大信息熵的流集规模判断方法来确定小规模流集，引入分散程度阈值，避免使用流集规模绝对阈值，以此减少在网络繁忙和网络空闲时段因流集规模波动引起的误差。