[发明专利]一种基于网关与本地的Botnet检测方法及系统

摘要

本发明公开了一种基于网关与本地的Botnet检测方法及系统，首先，分别进行主机流量监控和网关流量监控，实时抓取网络数据包；通过解析获取网络数据包内容信息和时间信息；判断网络数据包之间的内容相似度、时间相似度或者主机网络行为，上述三种检测操作根据需要进行组合使用，并分别设置权值，判断总权值是否达到预警值，若是，则认为存在Botnet，并报警，否则认为安全。本发明所给出的技术方案解决了特征码查杀与网络流量技术中的检测滞后性问题，并且不需要蜜罐技术那样的机群搭建，更加节省资源与时间。

主权项

一种基于网关与本地的Botnet检测方法，其特征在于，包括：分别进行主机流量监控和网关流量监控，实时抓取网络数据包；解析网关流量监控抓取的网络数据包，获取网络数据包内容信息，所述内容信息包括：源IP地址、目的IP地址、协议类型、数据包内容或者数据包片段hash；并对于具有相同或者相似内容信息的网络数据包进行汇集和分析，并判断是否存在预设项目的内容信息相同或者相似的网络数据包，若存在，则认为具有Botnet特征，否则认为安全；解析网关流量监控抓取的网络数据包，获取网络数据包时间信息，所述时间信息包括：发送时间、接收时间或者时间间隔，对比不同源IP地址的网络数据包和同目的IP地址的网络数据包的时间信息，并判断是否存在相同或者相似时间频率的网络数据包，若存在，则认为具有Botnet特征，否则认为安全；当进行主机流量监控时发现主机存在网络行为，则监控预设时间后进行预设次数的重新启动，并判断是否每次重新启动后主机都存在相同或者相似的网络行为，若存在，则认为具有Botnet特征，否则认为安全；上述三种检测操作根据需要进行组合使用，并分别设置权值，判断总权值是否达到预警值，若是，则认为存在Botnet，并报警，否则认为安全。