[发明专利]一种基于骨干网的攻击者追踪方法及系统

说明书

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种基于骨干网的攻击者追踪方法及系统。

背景技术

随着网络和计算技术的快速发展，恶意代码的种类、传播速度、感染数量和影响范围都在逐渐增强，同时互联网的开发性也加快了恶意代码的传播，各种恶意代码层出不穷，黑客攻击者的攻击手法更是不断变换。同时，攻击者的相关信息更加隐蔽。恶意代码的传播和其恶意行为均是依赖于网络，伴随着网络通信行为，极大的威胁着网络安全。

那么，如何从大量的网络通信流量信息中获取到黑客、攻击者的信息，从而来追踪到黑客或黑客组织，打击恶意网络行为，保障网络安全。

黑客释放恶意代码是为了进行恶意网络行为，感染恶意代码的机器最终会接受控制端的命名和控制，或向控制端发送信息，故均会存在一个相应的控制与命令服务器（C&C服务器）来处理此类命令和信息。C&C服务器模式有两种，集中模式和分散模式，集中模式中控制者从一个中心C&C服务器向感染机发布命令，而分散模式中不只有一个C&C服务器。

发明内容

基于现有问题，本发明提出了一种基于骨干网的攻击者追踪方法及系统，解决了现有技术很难对最终控制者进行定位的问题。

一种基于骨干网的攻击者追踪方法，包括：

通过骨干网监控设备，监控恶意网络通信行为，并获取恶意代码样本；

分析恶意代码样本，提取命令与控制服务器信息；

在骨干网监控命令与控制服务器及对应端口的IP通信，获取当前控制与命令服务器的控制者IP及对应信息；

判断控制者IP是否为最终控制者，如果是，则定位最终控制者IP；否则返回上一步骤继续监控。

所述的方法中，所述命令与控制服务器信息包括：网络通信五元组信息、服务器域名信息，及所需数据信息。

所述的方法中，所述在骨干网监控命令与控制服务器及对应端口的IP通信，获取当前控制与命令服务器的控制者IP及对应信息具体为：

检测命令与控制服务器操作系统环境，若命令与控制服务器操作系统环境为windows，则监控3389端口；若命令与控制服务器操作系统环境为linux，则监控22端口；若命令与控制服务器操作系统环境为web站点，则监控FTP和webshell。

所述的方法中，所述判断控制者IP是否为最终控制者具体为：

对控制者IP对应设备进行抓包，若所发送的数据包中包含指令包，接收的数据包中包含被控制端发送的首包，且不对外发送特定网络数据包，则控制者IP对应设备为最终控制者，否则为另一个控制与命令服务器。

一种基于骨干网的攻击者追踪系统，包括：

骨干网监控模块，用于通过骨干网监控设备，监控恶意网络通信行为，并获取恶意代码样本；

样本分析模块，用于分析恶意代码样本，提取命令与控制服务器信息；

控制端信息获取模块，用于在骨干网监控命令与控制服务器及对应端口的IP通信，获取当前控制与命令服务器的控制者IP及对应信息；

终端判断模块，用于判断控制者IP是否为最终控制者，如果是，则定位最终控制者IP；否则返回上一步骤继续监控。

所述的系统中，所述命令与控制服务器信息包括：网络通信五元组信息、服务器域名信息，及所需数据信息。

所述的系统中，所述在骨干网监控命令与控制服务器及对应端口的IP通信，获取当前控制与命令服务器的控制者IP及对应信息具体为：

检测命令与控制服务器操作系统环境，若命令与控制服务器操作系统环境为windows，则监控3389端口；若命令与控制服务器操作系统环境为linux，则监控22端口；若命令与控制服务器操作系统环境为web站点，则监控FTP和webshell。

所述的系统中，所述判断控制者IP是否为最终控制者具体为：

对控制者IP对应设备进行抓包，若所发送的数据包中包含指令包，接收的数据包中包含被控制端发送的首包，且不对外发送特定网络数据包，则控制者IP对应设备为最终控制者，否则为另一个控制与命令服务器。

本发明的优势在于，能够根据对恶意样本的分析，对网络中的恶意行为进行追踪，通过对骨干网监控，发现IP通信信息，并进一步判断其控制者IP是否是一个新的C&C站点，如果是则继续追踪，最终定位到攻击者控制端IP。