[发明专利]一种P2P botnet检测方法、装置和介质

说明书

本发明实施例公开了一种P2P botnet检测方法、装置和介质，获取正常网络流量数据以及异常网络流量数据；计算网络流量数据的时域特征值、频域特征值和连通特征值；将时域特征值、频域特征值、连通特征值及其对应的P2P botnet爆发结果作为样本数据，对初始BP神经网络进行训练，得到满足准确率要求的BP神经网络。利用BP神经网络对待检测网络流量数据进行处理，确定出待检测网络流量数据所对应的P2P botnet爆发结果。当P2P botnet爆发时，会使得网络流量数据的特征发生变化。依据网络流量数据的上述特征值对BP神经网络进行训练，提升了BP神经网络对P2P botnet爆发检测的准确性。

技术领域

本发明涉及计算机安全技术领域，特别是涉及一种基于多维特征与BP神经网络的P2P botnet检测方法、装置和介质。

背景技术

僵尸网络(botnet)是一种恶意主机群，攻击者可以利用二次注入对bot节点的负载进行改变，从而非常便捷迅速地改变最终要发送攻击的种类，例如分布式拒绝服务攻击、网络钓鱼和垃圾邮件攻击等。当前新型P2P botnet采用P2P网络的分散式结构来构建其命令与控制机制(CC，Command and Control)，因为该结构没有控制中心，所以有效避免了单点失效，健壮性和可靠性更强。

目前，关于P2P botnet分析和检测方面的研究处于兴起阶段。大多数检测方法主要从P2P botnet的某几个特有的、细致的特征入手进行检测，未对网络流量的宏观特征进行足够深入的分析和刻画。当出现某种新型P2P botnet，并且该botnet的网络结构、协议和攻击类型等与现有P2P botnet不同时，将会导致P2P botnet检测出现较大的漏报率。

可见，如何提升僵尸网络检测的准确性，是本领域技术人员亟待解决的问题。

发明内容

本发明实施例的目的是提供一种基于多维特征与BP神经网络的P2P botnet检测方法、装置和介质，可以提升僵尸网络检测的准确性。

为解决上述技术问题，本发明实施例提供一种基于多维特征与BP神经网络的P2Pbotnet检测方法，包括：

获取网络流量数据；其中，所述网络流量数据包括正常网络环境下正常网络流量数据以及P2P botnet网络环境下的异常网络流量数据；

计算所述网络流量数据的时域特征值、频域特征值和连通特征值；

将所述时域特征值、所述频域特征值、所述连通特征值及其对应的P2P botnet爆发结果作为样本数据，对初始BP神经网络进行训练，得到满足准确率要求的BP神经网络；

利用所述BP神经网络对待检测网络流量数据进行处理，确定出所述待检测网络流量数据所对应的P2P botnet爆发结果。

可选的，所述计算所述网络流量数据的时域特征值、频域特征值和连通特征值包括：

利用分形理论，计算所述网络流量数据的Hurst指数以及Holder指数；将所述Hurst指数和所述Holder指数作为时域特征值；

计算所述网络流量数据中单个时间窗口的功率谱密度；并依据所述功率谱密度，计算相邻两个时间窗口的功率谱密度的相对熵；将所述相对熵作为频域特征值；

将所述网络流量数据的源IP地址以及目的IP地址作为二元组，计算所述二元组的信息熵；将所述信息熵作为连通特征值。

可选的，所述利用所述BP神经网络对待检测网络流量数据进行处理，确定出所述待检测网络流量数据所对应的P2P botnet爆发结果包括：

计算所述待检测网络流量数据的时域特征值、频域特征值和连通特征值；