[发明专利]一种基于威胁情报的僵尸网络检测方法及检测系统

说明书

本发明涉及一种基于威胁情报的僵尸网络检测方法及检测系统，检测模块启动并加载本地更新的所有威胁情报至本地威胁情报库，获得第一审计数据与本地威胁情报库中的数据匹配，保存第一审计数据，匹配成功则保存风险数据到数据库，获得第一审计数据的源IP在T时间内的第二审计数据，基于风险数据对威胁事件进行分类，将第一审计数据、第二审计数据和分类后的数据关联，以存在网络请求行为符合僵尸网络特征的若干个IP为僵尸网络。本发明基于精准的威胁情报检测，并且可以从云端实时更新下载威胁情报，误报率和漏报率低；先根据威胁情报检测到风险，再对发生风险的这些源IP进行网络行为分析，判断是否符合僵尸网络的行为特征，误报率和漏报率低。

技术领域

本发明涉及数字信息的传输，例如电报通信的技术领域，特别涉及一种以协议为特征的、基于威胁情报的僵尸网络检测方法及检测系统。

背景技术

僵尸网络是互联网连接设备的集合，其中包括被常见类型的恶意文件感染和控制的PC、服务器、移动设备，或者物联网设备。

通常来说，用户不知道僵尸网络会感染他们的系统，在收到钓鱼邮件并打开含有恶意文件的附件、或被误导的情况下下载了恶意文件后，将致使他们的计算机感染僵尸程序，进而被网络犯罪分子控制，用户并不知道僵尸程序的网络行为；僵尸网络往往被黑客用来发起大规模的网络攻击，如分布式拒绝服务攻击(DDoS)、发送海量垃圾邮件、窃取主机敏感信息、挖矿等，同时黑客控制的这些计算机所保存的信息，譬如银行帐户的密码、社会安全号码等，也都可被黑客随意“取用”。

由于用户的计算机设备感染僵尸程序后，僵尸程序会与CC服务器通信，CC服务器会下发命令，对其进行远程控制，故不论是对网络安全运行还是用户数据安全的保护来说，僵尸网络都是极具威胁的隐患，破坏性影响很大。

现有技术中，专利申请号为201810615711.8的中国专利公开了一种僵尸网络的检测方法及装置，包括从网络上抓取第一待测网络数据包；按照预先训练的随机森林条件熵模型对第一待测网络数据包进行检验，滤掉由随机森林条件熵模型检测出的僵尸网络第一疑似数据包；按照预先训练的四元组模型和二元组模型，对滤掉僵尸网络第一疑似数据包后剩余的第二待测网络数据包进行检测，得到僵尸网络第二疑似数据包。此专利提高了对多样化的僵尸网络的检测效果。专利申请号为201610222674.5的中国专利公开了一种基于DNS流量特征的僵尸网络检测方法，将合法主域名和非法主域名组合起来形成目标集合；处理提取长度大于6的域名作为研究对象；分别计算域名熵值、构词法特征、语音特征和分组特征；放入随机森林分类器得到训练模型。现有技术存在相同的缺点，即试错周期长，实施阶段漏报率和误报率不可控，需要长时间的优化并调整数据分析的判断细节，例如，熵值、构词法特征等，实际流量中数据包的多样性也需要大量的测试。

发明内容

本发明解决了现有技术中，对于僵尸网络的检测普遍存在试错周期长，实施阶段漏报率和误报率不可控，需要长时间的优化并调整数据分析的判断细节，实际流量中数据包的多样性需要大量的测试的问题，提供了一种优化的基于威胁情报的僵尸网络检测方法及检测系统。

本发明所采用的技术方案是，一种基于威胁情报的僵尸网络检测方法，所述方法包括以下步骤：

步骤1：检测模块启动，加载本地更新的所有威胁情报至本地威胁情报库；

步骤2：若检测模块获得基于采集的网络流量的第一审计数据，则进行下一步，否则，重复步骤2；

步骤3：检测模块以第一审计数据与本地威胁情报库中的数据进行匹配，若匹配成功，则保存第一审计数据、风险数据到数据库，进行下一步，否则，保存第一审计数据，返回步骤2；

步骤4：获得当前第一审计数据的源IP在T时间内的第二审计数据；

步骤5：基于风险数据对威胁事件进行分类；