[发明专利]僵尸网络的检测方法、装置、设备及介质

说明书

本发明实施例公开了一种僵尸网络的检测方法、装置、设备及介质。该方法包括：根据DNS流量数据获取与各源IP地址对应的域名响应信息；根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，及与各备选受控IP地址分别匹配的第一异常主域名；根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名间的相似度，在各成功访问主域名中提取第二异常主域名并获取与之对应的主控IP地址；在各备选受控IP地址中获取成功访问每个主控IP地址的受控IP地址，并将其和与主控IP地址对应的受控IP地址确定为僵尸网络。在上述技术方案中，通过域名分析确定僵尸网络，降低了检测成本，提高了检测效率和准确度。

技术领域

本发明实施例涉及网络安全技术领域，尤其涉及一种僵尸网络的检测方法、装置、设备及介质。

背景技术

随着互联网全球化的发展，接入互联网的主机越来越多，网络中的僵尸网络、恶意软件等问题也对网络安全造成了巨大的威胁。其中，僵尸网络(Botnet)，指的是采用一种或多种传播手段，将大量主机感染僵尸程序(bot程序)病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。

目前，关于僵尸网络的检测，主要是通过蜜罐或威胁情报获取僵尸网络的恶意程序样本，采用沙箱技术和反汇编等方式进行样本分析，提取相应的检测特征，并将僵尸网络的检测特征部署于NTA(Network Terminal Appliance，网络终端设备)、IDS(IntrusionDetection Systems、入侵检测系统)、IPS(Intrusion Prevention System，入侵防御系统)或者防火墙等网络安全防护检测设备上。但由于蜜网和蜜罐的部署复杂，高质量的威胁情报价格较高，导致只有少数大型机构才能采用这种方式对僵尸网络进行检测，同时，海量的样本又需要大量的专业安全分析人员进行分析，延长了检测时间。因此，如何降低僵尸网络的检测成本，提高检测效率和准确度是亟待解决的问题。

发明内容

本发明实施例提供一种僵尸网络的检测方法、装置、设备及介质，以降低僵尸网络的检测成本，提高检测效率和准确度。

第一方面，本发明实施例提供了一种僵尸网络的检测方法，包括：

根据DNS(Domain Name System，域名系统)流量数据，获取与各源IP(InternetProtocol，网际协议)地址对应的域名响应信息；

根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名；

根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；

在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。

第二方面，本发明实施例还提供了一种僵尸网络的检测装置，包括：

域名响应信息获取模块，用于根据DNS流量数据，获取与各源IP地址对应的域名响应信息；

备选受控IP地址及第一异常主域名获取模块，用于根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名；

主控IP地址获取模块，用于根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；

僵尸网络确定模块，用于在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。