[发明专利]僵尸网络检测方法和控制器

摘要

本发明实施例提供一种僵尸网络检测方法和控制器，该方法包括：接收SDN中openflow交换机上报的每个流转发规则的统计信息，统计信息包括子流转发规则的第一匹配次数和母流转发规则的第二匹配次数；根据各第一匹配次数和各第二匹配次数确定每个服务器被任一用户终端访问的访问概率集合；根据访问概率集合两两计算访问任两个服务器的用户终端的相似度得到访问相似度矩阵；采用谱聚类算法对访问相似度矩阵进行谱聚类以根据聚类结果确定是否存在僵尸网络。母流转发规则中的源IP地址为一个子网地址，大大降低了控制器的处理负载，基于访问相似度来确定僵尸网络，提高了僵尸网络的检测效率。

主权项

1.一种僵尸网络检测方法，其特征在于，包括：接收软件定义网络SDN中的openflow交换机在第一预设时间段内上报的流转发规则的统计信息，所述流转发规则包括子流转发规则和与所述子流转发规则对应的母流转发规则，所述统计信息包括所述子流转发规则的第一匹配次数和所述母流转发规则的第二匹配次数；其中，所述子流转发规则用于指示将SDN中与所述子流转发规则中的源IP地址对应的数据包转发至与所述子流转发规则中的目的IP地址对应的SDN外部的服务器，所述母流转发规则用于将SDN中与所述源IP地址对应的子网地址内的数据包转发至所述服务器；根据所述第一匹配次数和所述第二匹配次数，计算所述服务器被所述SDN中任一用户终端访问的访问概率，获得所述服务器的访问概率集合；根据所述访问概率集合，计算访问所述服务器中任意两个服务器的用户终端的相似度，得到访问相似度矩阵；采用预设谱聚类算法对所述访问相似度矩阵进行谱聚类，获得聚类结果；根据所述聚类结果确定是否存在僵尸网络。