[发明专利]一种P2P botnet检测方法、装置和介质

权利要求书

1.一种基于网络复杂度特征与概率神经网络的P2P botnet检测方法，其特征在于，包括：

获取网络流量数据；其中，所述网络流量数据包括正常网络环境下正常网络流量数据以及P2P botnet网络环境下的异常网络流量数据；

将所述网络流量数据划分为不同类型的数据包，计算各类数据包的网络复杂度特征；

将各所述网络复杂度特征及其对应的P2P botnet爆发结果作为样本数据，对初始概率神经网络进行训练，得到满足准确率要求的概率神经网络；

利用所述概率神经网络对待检测网络流量数据进行处理，得到待检测网络流量数据所对应的P2P botnet爆发结果；

所述网络流量数据包括TCP数据包、UDP数据包、ICMP数据包和SMTP数据包；

所述各类数据包的网络复杂度特征包括TCP数据包的排列熵、UDP数据包的排列熵、ICMP数据包的排列熵和SMTP数据包的排列熵。

2.根据权利要求1所述的方法，其特征在于，所述利用所述概率神经网络对待检测网络流量数据进行处理，得到待检测网络流量数据所对应的P2P botnet爆发结果包括：

将所述待检测网络流量数据按照数据包类型，划分为不同类型的数据包；

计算各类数据包的网络复杂度特征；

将各所述网络复杂度特征输入所述概率神经网络，以得到所述待检测网络流量数据所对应的P2P botnet爆发结果。

3.根据权利要求2所述的方法，其特征在于，所述将各所述网络复杂度特征及其对应的P2P botnet爆发结果作为样本数据，对初始概率神经网络进行训练，得到满足准确率要求的概率神经网络包括：

将各所述网络复杂度特征及其对应的P2P botnet爆发结果作为样本数据，并将所述样本数据划分为训练样本集和测试样本集；

利用所述训练样本集对所述初始概率神经网络进行训练，得到训练好的概率神经网络；

将目标测试样本输入所述概率神经网络，得到输出结果；所述目标测试样本为所述测试样本集中未经测试的任意一个测试样本；

判断所述输出结果与所述测试样本的P2P botnet爆发结果是否一致；

若否，则返回所述利用所述训练样本集对所述初始概率神经网络进行训练，得到训练好的概率神经网络的步骤；

若是，则从所述测试样本集中选取一个未经测试的测试样本作为目标测试样本，并返回所述将目标测试样本输入所述概率神经网络，得到输出结果的步骤，直至所述测试样本集中的所有测试样本均完成测试，则将所述概率神经网络作为满足准确率要求的概率神经网络。

4.一种基于网络复杂度特征与概率神经网络的P2P botnet检测装置，其特征在于，包括获取单元、特征计算单元、训练单元和处理单元；

所述获取单元，用于获取网络流量数据；其中，所述网络流量数据包括正常网络环境下正常网络流量数据以及P2P botnet网络环境下的异常网络流量数据；

所述特征计算单元，用于将所述网络流量数据划分为不同类型的数据包，计算各类数据包的网络复杂度特征；

所述训练单元，用于将各所述网络复杂度特征及其对应的P2P botnet爆发结果作为样本数据，对初始概率神经网络进行训练，得到满足准确率要求的概率神经网络；

所述处理单元，用于利用所述概率神经网络对待检测网络流量数据进行处理，得到待检测网络流量数据所对应的P2P botnet爆发结果；

所述网络流量数据包括TCP数据包、UDP数据包、ICMP数据包和SMTP数据包；

所述各类数据包的网络复杂度特征包括TCP数据包的排列熵、UDP数据包的排列熵、ICMP数据包的排列熵和SMTP数据包的排列熵。

5.根据权利要求4所述的装置，其特征在于，所述处理单元包括分类子单元、计算子单元和输出子单元；

所述分类子单元，用于将所述待检测网络流量数据按照数据包类型，划分为不同类型的数据包；

所述计算子单元，用于计算各类数据包的网络复杂度特征；

所述输出子单元，用于将各所述网络复杂度特征输入所述概率神经网络，以得到所述待检测网络流量数据所对应的P2P botnet爆发结果。