[发明专利]一种基于小流统计分析的对等僵尸主机识别方法在审
| 申请号： | 201210342471.1 | 申请日： | 2012-09-14 |
| 公开（公告）号： | CN103685184A | 公开（公告）日： | 2014-03-26 |
| 发明（设计）人： | 王力;王斌斌;贾大智 | 申请（专利权）人： | 上海宝信软件股份有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06 |
| 代理公司： | 上海汉声知识产权代理有限公司 31236 | 代理人： | 郭国中 |
| 地址： | 201203 上海市浦*** | 国省代码： | 上海;31 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明公开一种基于小流统计分析的对等僵尸主机识别方法，其特征在于分为两步：（1）小流过滤阶段：根据主机网络数据流的小流特性选择出可疑的主机数据流，该阶段往往能滤除网络中百分之九十以上的流量，以此来降低下一步处理的流量输入量和提升处理效率；（2）僵尸主机识别阶段：对可疑主机流依据时间序列上的统计相似性来识别僵尸主机，本方法输入为一段时间内的目标网络边界收集到的Netflow网络流数据，输出为目标网络中被识别为僵尸主机的IP地址列表。本发明是一种简单、高效的技术手段，来识别内网中的对等僵尸主机，并且具有很高的可实施性，同时具有易集成性。 | ||
| 搜索关键词： | 一种 基于 统计分析 对等 僵尸 主机 识别 方法 | ||
【主权项】：
一种基于小流统计分析的对等僵尸主机识别方法，其特征在于分为两步：（1）小流过滤阶段：根据主机网络数据流的小流特性选择出可疑的主机数据流，该阶段往往能滤除网络中百分之九十以上的流量，以此来降低下一步处理的流量输入量和提升处理效率；在此阶段，根据特定(IP，Port)对上在检测数据集时段内的所有Netflow流的统计特征进行提取、分析和计算，以此提取可疑的(IP，Port)对，并保留与之相关的Netflow流，削减了大部分的网络流量；（2）僵尸主机识别阶段：对可疑主机流依据时间序列上的统计相似性来识别僵尸主机，本方法输入为一段时间内的目标网络边界收集到的Netflow流网络流数据，输出为目标网络中被识别为僵尸主机的IP地址列表；在此阶段，对小流过滤阶段得出的每个（IP，Port），计算其在多个连续等长时窗内流集合的平均包长统计分布，并对分布间的差异进行量化，最终形成该(I P，Port)在检测时间段内分布相似率，若该相似率超过设定阈值，则被判定为对等僵尸主机。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于上海宝信软件股份有限公司，未经上海宝信软件股份有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201210342471.1/，转载请声明来源钻瓜专利网。
