[发明专利]一种僵尸网络家族传播源数量变化异常的分析方法

说明书

本发明实施例涉及一种僵尸网络家族传播源数量变化异常的分析方法，具体涉及网络安全技术领域，方法包括：根据历史数据统计监控区间内僵尸网络家族在各预定单位时长内的传播源数量；根据各预定单位时长内的传播源数量生成训练样本集，根据所述训练样本集训练孤立森林模型；实时监控所述监控区间内所述僵尸网络家族在所述预定单位时长内的传播源数量，计算所述传播源数量在所述孤立森林模型中的异常值分数；根据所述异常值分数对所述僵尸网络家族的传播进行异常检测，可以实现对僵尸网络的家族规模及家族规模变化趋势进行异常检测，可以实现自动化地监控僵尸网络的发展情况。

技术领域

本发明实施例涉及网络安全技术领域，具体涉及一种僵尸网络家族传播源数量变化异常的分析方法。

背景技术

僵尸网络(Botnet)是指采用一种或多种传播手段，将大量主机感染bot程序(僵尸程序)病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。

僵尸网络自出现以来，越来越成为全球网络安全的主要威胁，尤其是以p2p形式传播的僵尸样本，能否通过对僵尸网络的监测数据的分析，形成僵尸网络家族传播源数量变化的分析能力，对异常变化的某僵尸网络家族形成有效的预警和干预，是僵尸网络治理工作中重要的一环。

发明内容

有鉴于此，本发明实施例提供一种僵尸网络家族传播源数量变化异常的分析方法，以实现自动化地监控僵尸网络的发展情况。

本发明实施例的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本发明实施例的实践而习得。

在本公开的第一方面，本发明实施例提供了一种僵尸网络家族传播源数量变化异常的分析方法，包括：

根据历史数据统计监控区间内僵尸网络家族在各预定单位时长内的传播源数量；

根据各预定单位时长内的传播源数量生成训练样本集，根据所述训练样本集训练孤立森林模型；

实时监控所述监控区间内所述僵尸网络家族在所述预定单位时长内的传播源数量，计算所述传播源数量在所述孤立森林模型中的异常值分数；

根据所述异常值分数对所述僵尸网络家族的传播进行异常检测。

于一实施例中，所述根据所述异常值分数对所述僵尸网络家族的传播进行异常检测包括：将所述异常值分数与设定异常阈值进行比较，根据比较结果确定所述僵尸网络家族的传播是否异常。

于一实施例中，所述方法还包括，在将所述异常值分数与设定异常阈值进行比较之前还包括：接收用户设置的所述设定异常阈值。

于一实施例中，所述根据所述异常值分数对所述僵尸网络家族的传播进行异常检测包括：在获取预定数量的所述异常值分数之后，根据设定异常比例和各所述异常值分数对所述僵尸网络家族的传播进行异常检测。

于一实施例中，在根据设定异常比例和各所述异常值分数对所述僵尸网络家族的传播进行异常检测之前还包括：接收用户设置的所述设定异常比例。

于一实施例中，根据所述训练样本集训练孤立森林模型包括：从所述训练样本集中挑选训练样本子集；根据所挑选的训练样本子集训练所述孤立森林模型。

于一实施例中，所述预定单位时长为1小时。

在本公开的第二方面，本发明实施例还提供了一种僵尸网络家族传播源数量变化异常的分析装置，包括：

历史数量获取单元，用于根据历史数据统计监控区间内僵尸网络家族在各预定单位时长内的传播源数量；

模型训练单元，用于根据各预定单位时长内的传播源数量生成训练样本集，根据所述训练样本集训练孤立森林模型；