[发明专利]CC通道检测方法

权利要求书

1.一种CC通道检测方法，其特征在于，该方法为：

每隔第一周期统计所有的目的IP和源IP，将既不属于合法目的IP列表也不属于异常目的IP列表的目的IP及其对应的源IP记为初步可疑IP对；

统计每个所述初步可疑IP对内目的IP和源IP之间传输的数据包个数，任意一个初步可疑IP对内目的IP和源IP之间传输的数据包个数大于1000，和，统计每个所述初步可疑IP对内目的IP和源IP之间传输的上行流量和下行流量，任意一个初步可疑IP内目的IP和源IP之间传输的上行流量大于下行流量N倍，将该初步可疑IP对记为可疑IP对, 所述的N取10到25之间的整数；

将所述可疑IP对中同一目的IP对应的源IP个数小于或者等于3的目的IP加入到所述可疑目的IP列表，同时保存可疑目的IP列表中所有目的IP与其对应的源IP之间传输的数据包；

通过分析该数据包得到攻击者服务器的IP和受控主机的IP。

2.根据权利要求1所述的一种CC通道检测方法，其特征在于，该方法还包括：统计所述可疑IP对中同一目的IP对应的源IP个数大于3的目的IP，将该目的IP加入合法目的IP列表，将该目的IP对应的host字段加入到合法host列表。

3.根据权利要求1或2所述的一种CC通道检测方法，其特征在于，所述通过分析该数据包得到攻击者服务器的IP和受控主机的IP之后，该方法还包括：每隔第二周期统计可疑目的IP列表中同一目的IP对应的源IP个数大于5的目的IP，并将该目的IP从可疑目的IP列表中删除，同时将该目的IP加入到合法目的IP列表，将该目的IP对应的host字段从可疑host列表中删除，同时将该目的IP对应的host字段加入到合法host列表中。

4.根据权利要求3所述的一种CC通道检测方法，其特征在于，所述通过分析该数据包得到攻击者服务器的IP和受控主机的IP之后，该方法还包括：统计可疑目的IP列表中同一目的IP对应的源IP个数小于或等于5的目的IP，将该目的IP加入异常目的IP列表中，将该目的IP对应的host字段加入到异常host列表中，将该目的IP从可疑目的IP列表中删除，将该目的IP对应的host字段从可疑host列表中删除。

5.根据权利要求1所述的一种CC通道检测方法，其特征在于，所述每隔第一周期统计所有的目的IP和源IP之前，该方法还包括：配置合法目的IP列表，用于存储合法的目的IP；配置异常目的IP列表，用于存储异常的目的IP；配置合法的host列表，用于存储合法的host；配置异常的host列表，用于存储异常的host。