CN116800483A - 基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质 - Google Patents
基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质 Download PDFInfo
- Publication number
- CN116800483A CN116800483A CN202310686490.4A CN202310686490A CN116800483A CN 116800483 A CN116800483 A CN 116800483A CN 202310686490 A CN202310686490 A CN 202310686490A CN 116800483 A CN116800483 A CN 116800483A
- Authority
- CN
- China
- Prior art keywords
- data
- worm
- worm virus
- monitoring
- honeypot
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 241000700605 Viruses Species 0.000 title claims abstract description 113
- 238000000034 method Methods 0.000 title claims abstract description 44
- 238000005516 engineering process Methods 0.000 title claims abstract description 35
- 238000012544 monitoring process Methods 0.000 claims abstract description 61
- 238000001514 detection method Methods 0.000 claims abstract description 58
- 241001377938 Yara Species 0.000 claims abstract description 26
- 230000006399 behavior Effects 0.000 claims description 25
- 238000012549 training Methods 0.000 claims description 25
- 238000000605 extraction Methods 0.000 claims description 16
- 238000004590 computer program Methods 0.000 claims description 14
- 238000007781 pre-processing Methods 0.000 claims description 12
- 238000012795 verification Methods 0.000 claims description 12
- 230000005540 biological transmission Effects 0.000 claims description 11
- 238000012216 screening Methods 0.000 claims description 9
- 238000004140 cleaning Methods 0.000 claims description 4
- 238000012360 testing method Methods 0.000 claims description 4
- 238000010586 diagram Methods 0.000 description 6
- 238000004891 communication Methods 0.000 description 5
- 238000004458 analytical method Methods 0.000 description 3
- 238000004364 calculation method Methods 0.000 description 3
- 238000012545 processing Methods 0.000 description 3
- 238000004422 calculation algorithm Methods 0.000 description 2
- 230000006870 function Effects 0.000 description 2
- 238000009499 grossing Methods 0.000 description 2
- 235000012907 honey Nutrition 0.000 description 2
- 238000007476 Maximum Likelihood Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000002790 cross-validation Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000001066 destructive effect Effects 0.000 description 1
- 208000015181 infectious disease Diseases 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000002085 persistent effect Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000000644 propagated effect Effects 0.000 description 1
- 230000010076 replication Effects 0.000 description 1
- 210000000605 viral structure Anatomy 0.000 description 1
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本申请公开了基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质，涉及病毒检测领域，包括：通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。本申请通过利用预先训练好的离散型朴素贝叶斯模型以及预先配置的Yara规则进行实时流量监测以及二进制数据匹配，来进行病毒检测，这样一来，有效提高了病毒检测的准确性以及可靠性。
Description
技术领域
本发明涉及病毒检测领域，特别涉及基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质。
背景技术
蠕虫病毒是一种常见的计算机病毒，是无须计算机使用者干预即可运行的独立程序，它通过不停的获得网络中存在漏洞的计算机上的部分或全部控制权来进行传播。
目前针对蠕虫病毒的识别的方式有很多种。现有的技术方案中往往采用基于流量特征统计并设置阈值的方法进行蠕虫病毒的识别监测，但这样一来，设置阈值过低容易导致误报，设置过高则容易漏报，且需要对大量的流量数据进行分析，对于网络流量大、分析能力有限的场景可能存在一定的局限性。也就是说此方案仅适用于一些相对简单的场景，但在复杂的网络环境下，需要结合其他的技术方案进行综合应用。
发明内容
有鉴于此，本发明的目的在于提供基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质，能够有效提高病毒检测的准确性以及可靠性。其具体方案如下：
第一方面，本申请提供了一种基于蜜罐技术的蠕虫病毒检测方法，应用于当前蜜罐系统中的蜜罐节点，包括：
通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；
在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；
基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
可选的，所述通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测之前，还包括：
获取包括正常流量数据和蠕虫病毒行为数据的历史流量数据，构建数据集，以得到初始数据集；
对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集；所述数据预处理包括数据清洗、特征提取以及特征筛选；
对所述处理后数据集进行划分，并基于划分后得到的目标训练集、目标验证集以及目标验证集分别对初始离散型朴素贝叶斯模型进行模型训练、模型验证以及模型测试。
可选的，所述对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集，包括：
在进行特征提取时，基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取，得到相应的待筛选特征；
通过对与各所述历史流量数据对应的所述待筛选特征进行特征筛选，以得到处理后数据集。
可选的，所述基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取之前，还包括：
通过预先对已知的蠕虫病毒行为特征进行分析，得到相应的蠕虫病毒行为特征类型；所述蠕虫病毒行为特征类型包括流量包大小、传输协议类型以及目标传输端口。
可选的，基于划分后得到的目标训练集对初始离散型朴素贝叶斯模型进行模型训练，包括：
基于划分后得到的目标训练集并利用预设的先验概率公式以及条件概率公式对初始离散型朴素贝叶斯模型进行模型训练。
可选的，所述基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果，包括：
通过判断所述待检测二进制数据是否满足预先配置的Yara规则中的各匹配条件来对所述待检测二进制数据进行规则匹配，得到相应的匹配结果。
可选的，基于所述匹配结果判断当前是否存在蠕虫病毒，包括：
当所述匹配结果表明当前存在任一所述匹配条件未被满足时，确定所述待检测二进制数据为正常二进制数据。
第二方面，本申请提供了一种基于蜜罐技术的蠕虫病毒检测装置，应用于当前蜜罐系统中的蜜罐节点，包括：
流量监测模块，用于通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；
二进制数据检测模块，用于在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；
蠕虫病毒判断模块，用于基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
第三方面，本申请提供了一种电子设备，包括：
存储器，用于保存计算机程序；
处理器，用于执行所述计算机程序，以实现前述的基于蜜罐技术的蠕虫病毒检测方法的步骤。
第四方面，本申请提供了一种计算机可读存储介质，用于保存计算机程序，所述计算机程序被处理器执行时实现前述的基于蜜罐技术的蠕虫病毒检测方法的步骤。
可见，本申请中，首先当前蜜罐系统中的蜜罐节点通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；然后在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；然后基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。本申请通过利用预先训练好的离散型朴素贝叶斯模型以及预先配置的Yara规则进行实时流量监测以及二进制数据匹配，来进行病毒检测，这样一来，有效提高了病毒检测的准确性以及可靠性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请提供的一种基于蜜罐技术的蠕虫病毒检测方法流程图；
图2为本申请提供的一种蠕虫病毒结构示意图；
图3为本申请提供的一种蠕虫程序的工作流程示意图；
图4为本申请提供的一种具体的基于蜜罐技术的蠕虫病毒检测方法流程图；
图5为本申请提供的一种基于蜜罐技术的蠕虫病毒检测方法流程图；
图6为本申请提供的一种基于蜜罐技术的蠕虫病毒检测装置结构示意图；
图7为本申请提供的一种电子设备结构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
目前针对蠕虫病毒的识别的方式有很多种。现有的技术方案中往往采用基于流量特征统计并设置阈值的方法进行蠕虫病毒的识别监测，但这样一来，设置阈值过低容易导致误报，设置过高则容易漏报，且需要对大量的流量数据进行分析，对于网络流量大、分析能力有限的场景可能存在一定的局限性。也就是说此方案仅适用于一些相对简单的场景，但在复杂的网络环境下，需要结合其他的技术方案进行综合应用。为此，本申请提供了一种基于蜜罐技术的蠕虫病毒检测方案，能够有效提高病毒检测的准确性以及可靠性。
参见图1所示，本发明实施例公开了一种基于蜜罐技术的蠕虫病毒检测方法，应用于当前蜜罐系统中的蜜罐节点，包括：
步骤S11、通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果。
具体的，本实施例中，参见图2与图3所示，蠕虫病毒一般内置三大模块，分别是传播模块、隐藏模块和目的功能模块。其中，所述传播模块负责进行病毒传播，可以进一步划分为相应的扫描模块、攻击模块以及复制模块。其中，所述扫描模块负责探测当前网络中存在漏洞的主机；所述攻击模块按漏洞攻击步骤自动攻击找到的存在漏洞的新主机；所述复制模块通过原主机和所述新主机交互将蠕虫程序复制到所述新主机并启动。也就是说，蠕虫程序的工作流程可以分为漏洞扫描、攻击、传染、现场处理四个阶段。蠕虫程序扫描到有漏洞的所述新主机后，将蠕虫主体迁移到所述新主机。然后，蠕虫程序进入被感染的系统，对所述新主机进行现场处理操作。所述现场处理操作的具体工作内容包括：隐藏、信息搜集等。同时，蠕虫程序生成多个副本，重复上述流程。不同的蠕虫程序采取的IP生成策略可能并不相同，甚至随机生成。而本实施例中所述当前蜜罐系统支持部署带有漏洞的蜜罐，例如带有永恒之蓝漏洞的windows系列蜜罐。真实的网络环境都会分成不同的区域，比如DMZ(demilitarized zone，非安全系统与安全系统之间的缓冲区)区域、TRUST区域等。所以要达成收集大量网络数据这个目的，首先要在不同局域网内部署响应的蜜罐节点。所述蜜罐节点都支持获取外部对节点建立连接后的流量数据以及支持获取落盘到节点虚拟磁盘上的可疑文件数据。
需要理解的是，本实施例中，由于蠕虫病毒要想传播并发挥破坏作用必须进行探测，而探测势必会产生流量，因此可以通过流量数据的监测来检测蠕虫病毒。具体的，在进行流量监测之前，也即所述通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测之前，具体看可以包括：获取包括正常流量数据和蠕虫病毒行为数据的历史流量数据，构建数据集，以得到初始数据集；对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集；所述数据预处理包括数据清洗、特征提取以及特征筛选；对所述处理后数据集进行划分，并基于划分后得到的目标训练集、目标验证集以及目标验证集分别对初始离散型朴素贝叶斯模型进行模型训练、模型验证以及模型测试。其中，在训练过程咋可以使用交叉验证等方法对模型进行优化和选择，以提高模型的准确性和泛化能力。这样一来，基于朴素贝叶斯分类计算概率的方式能够更加准确地检测蠕虫病毒的传播行为，因为它不仅考虑了流量数据的统计特征，还考虑了不同特征之间的关联性。同时结合传播文件实体二进制数据的分析，增加检测角度，值得结果偏差更小。
需要进一步理解的是，所述对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集，具体可以包括：在进行特征提取时，基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取，得到相应的待筛选特征；通过基于根据特征的重要性和相关性对与各所述历史流量数据对应的所述待筛选特征进行特征筛选，以得到处理后数据集。其中，所述处理后数据集具体可以如下表一所示。
表一
其中，每行分别代表与不同的所述历史流量数据对应的特征。可以理解的是，ICMP，也即Internet Control Message Protocol，为因特网控制报文协议，所述“protocol”为使用的协议，所述“pro_count”为该协议在本地统计中出现的次数，所述“tcp_syn”为TCP(Transmission Control Protocol，传输控制协议)协议SYN(SynchronizeSequence Numbers，同步序列编号，也即TCP/IP建立连接时使用的握手信号)包数量，所述“tcp_fin”为TCP协议FIN包数量，所述“payload_size”为流量包大小，单位为KB(Kilobyte)，也即千字节，所述“dst_ports”为目标端口，所述“frequency”为频率，所述“is_worm”为是否蠕虫。因此，基于朴素贝叶斯分类计算概率的方式能够根据具体的场景和数据动态地调整模型，从而提高检测准确率和效率，且不仅能够检测已知的蠕虫病毒，还能够发现新型的蠕虫病毒，从而提高检测的可靠性和安全性。
可以理解的是，所述基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取之前，具体还可以包括：通过预先对已知的蠕虫病毒行为特征进行分析，得到相应的蠕虫病毒行为特征类型；所述蠕虫病毒行为特征类型包括流量包大小、传输协议类型以及目标传输端口。进一步的，基于划分后得到的目标训练集对初始离散型朴素贝叶斯模型进行模型训练，具体可以包括：基于划分后得到的目标训练集并利用预设的先验概率公式以及条件概率公式对初始离散型朴素贝叶斯模型进行模型训练。其中所述预设的先验概率公式以及条件概率公式分别如下所示。
其中，p表示概率，λ＝0时表示极大似然估计，λ＝1时表示拉普拉斯平滑(默认λ＝1)，k表示类别数量(只有是与不是两类)，N表示训练集内样本数量。根据公式，以表1为例，可以得到具体的先验概率为P(ICMP|蠕虫)＝1/5，P(TCP|蠕虫)＝2/5，P(TCP|非蠕虫)＝2/5，P(38|蠕虫)＝1/5，P(63|蠕虫)＝1/5，P(492|蠕虫)＝1/5，P(165|蠕虫)＝1/5，P(1600|蠕虫)＝1/5。
可以理解的是，在实时流量监测的过程中，针对采集到的数据可以得到如下表二所示的数据，根据所述条件概率公式，可以通过计算确定其来自蠕虫病毒的概率。
表二
| protocol | pro_count | tcp_syn | tcp_fin | payload_size | dst_ports | frequency |
| TCP | 63 | 53 | 5 | 652 | 135 | 1 |
其中，在不同类别下的概率(λ＝1，已做拉普拉斯平滑处理)分别是：P(蠕虫)＝P(TCP|蠕虫)×P(63|蠕虫)×P(53|蠕虫)×P(5|蠕虫)×P(652|蠕虫)×P(135|蠕虫)＝4/15625。P(非蠕虫)＝P(TCP|非蠕虫)×P(63|非蠕虫)×P(53|非蠕虫)×P(5|非蠕虫)×P(652|非蠕虫)×P(135|非蠕虫)＝1/15626。因此可以认定该条数据是由蠕虫病毒产生的数据，也即当前存在蠕虫病毒。
步骤S12、在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果。
具体的，本实施例中，所述当前蜜罐系统内置部分已知病毒的Yara规则，也即预先配置的所述Yara规则。所述蜜罐节点获取到文件数据后，会上报指定格式(pcap、原文件格式)的二进制数据，也即所述待检测二进制数据至相应的数据分析程序，其中，所述pcap(Packet Capture，一种行业标准的网络数据包捕获格式)。然后所述数据分析程序将基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配。
步骤S13、基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
本实施例中，参见图4所示，兼容流量监测和二进制数据检测，维度多，使得检测结果更准确。当基于已感染主机中蠕虫病毒发送的流量数据和/或文件进行相应的检测之后，得到相应的所述监测结果和/或所述匹配结果。若得到的所述匹配结果表明所述Yara规则中的所有匹配条件均被匹配成功，则表明所述待检测二进制数据为蠕虫病毒产生的数据，也即当前存在蠕虫病毒。当所述匹配结果表明当前存在任一所述匹配条件未被满足时，确定所述待检测二进制数据为正常二进制数据，也即当前不存在蠕虫病毒。若得到的所述监测结果表明蠕虫的概率大于非蠕虫的概率，则表明当前存在蠕虫病毒。
由此可见，本申请实施例中，首先当前蜜罐系统中的蜜罐节点通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；然后在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；然后基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。本申请通过利用预先训练好的离散型朴素贝叶斯模型以及预先配置的Yara规则进行实时流量监测以及二进制数据匹配，来进行病毒检测，这样一来，有效提高了病毒检测的准确性以及可靠性。
参见图5所示，本发明实施例公开了一种基于蜜罐技术的蠕虫病毒检测方法，应用于当前蜜罐系统中的蜜罐节点，包括：
步骤S21、通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果。
步骤S22、在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，通过判断所述待检测二进制数据是否满足预先配置的Yara规则中的各匹配条件来对所述待检测二进制数据进行规则匹配，得到相应的匹配结果。
步骤S23、基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
其中，关于上述步骤S21至步骤S23的具体过程可以参考前述实施例公开的相应内容，在此不再进行赘述。
由此可见，本申请实施例中，首先当前蜜罐系统中的蜜罐节点通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果。然后在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，通过判断所述待检测二进制数据是否满足预先配置的Yara规则中的各匹配条件来对所述待检测二进制数据进行规则匹配，得到相应的匹配结果。然后基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。本申请通过利用预先训练好的离散型朴素贝叶斯模型以及预先配置的Yara规则进行实时流量监测以及二进制数据匹配，来进行病毒检测，这样一来，有效提高了病毒检测的准确性以及可靠性。
参见图6所示，本申请实施例还相应公开了一种基于蜜罐技术的蠕虫病毒检测装置，应用于当前蜜罐系统中的蜜罐节点，包括：
流量监测模块11，用于通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；
二进制数据检测模块12，用于在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；
蠕虫病毒判断模块13，用于基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
其中，关于上述各个模块更加具体的工作过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。
由此可见，本申请中，首先当前蜜罐系统中的蜜罐节点通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；然后在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；然后基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。本申请通过利用预先训练好的离散型朴素贝叶斯模型以及预先配置的Yara规则进行实时流量监测以及二进制数据匹配，来进行病毒检测，这样一来，有效提高了病毒检测的准确性以及可靠性。
在一些具体实施例中，所述基于蜜罐技术的蠕虫病毒检测装置，具体还可以包括：
初始数据集构建单元，用于获取包括正常流量数据和蠕虫病毒行为数据的历史流量数据，构建数据集，以得到初始数据集；
数据预处理单元，用于对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集；所述数据预处理包括数据清洗、特征提取以及特征筛选；
数据集划分单元，用于对所述处理后数据集进行划分，并基于划分后得到的目标训练集、目标验证集以及目标验证集分别对初始离散型朴素贝叶斯模型进行模型训练、模型验证以及模型测试。
在一些具体实施例中，所述基于蜜罐技术的蠕虫病毒检测装置，具体可以包括：
特征提取单元，用于在进行特征提取时，基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取，得到相应的待筛选特征；
特征筛选单元，用于通过对与各所述历史流量数据对应的所述待筛选特征进行特征筛选，以得到处理后数据集。
在一些具体实施例中，所述基于蜜罐技术的蠕虫病毒检测装置，具体还可以包括：
蠕虫病毒行为特征类型确定单元，用于通过预先对已知的蠕虫病毒行为特征进行分析，得到相应的蠕虫病毒行为特征类型；所述蠕虫病毒行为特征类型包括流量包大小、传输协议类型以及目标传输端口。
在一些具体实施例中，所述基于蜜罐技术的蠕虫病毒检测装置，具体可以包括：
模型训练单元，用于基于划分后得到的目标训练集并利用预设的先验概率公式以及条件概率公式对初始离散型朴素贝叶斯模型进行模型训练。
在一些具体实施例中，所述二进制数据检测模块12，具体可以包括：
通过判断所述待检测二进制数据是否满足预先配置的Yara规则中的各匹配条件来对所述待检测二进制数据进行规则匹配，得到相应的匹配结果。
在一些具体实施例中，所述基于蜜罐技术的蠕虫病毒检测装置，具体可以包括：
当所述匹配结果表明当前存在任一所述匹配条件未被满足时，确定所述待检测二进制数据为正常二进制数据。
进一步的，本申请实施例还公开了一种电子设备，图7是根据一示例性实施例示出的电子设备20结构图，图中的内容不能认为是对本申请的使用范围的任何限制。
图7为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、电源23、通信接口24、输入输出接口25和通信总线26。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现前述任一实施例公开的基于蜜罐技术的蠕虫病毒检测方法中的相关步骤。另外，本实施例中的电子设备20具体可以为电子计算机。
本实施例中，电源23用于为电子设备20上的各硬件设备提供工作电压；通信接口24能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。
另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源可以包括操作系统221、计算机程序222等，存储方式可以是短暂存储或者永久存储。
其中，操作系统221用于管理与控制电子设备20上的各硬件设备以及计算机程序222，其可以是Windows Server、Netware、Unix、Linux等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的基于蜜罐技术的蠕虫病毒检测方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。
进一步的，本申请还公开了一种计算机可读存储介质，用于存储计算机程序；其中，所述计算机程序被处理器执行时实现前述公开的基于蜜罐技术的蠕虫病毒检测方法。关于该方法的具体步骤可以参考前述实施例中公开的相应内容，在此不再进行赘述。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上对本申请所提供的技术方案进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。
Claims (10)
1.一种基于蜜罐技术的蠕虫病毒检测方法，其特征在于，应用于当前蜜罐系统中的蜜罐节点，包括：
通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；
在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；
基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
2.根据权利要求1所述的基于蜜罐技术的蠕虫病毒检测方法，其特征在于，所述通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测之前，还包括：
获取包括正常流量数据和蠕虫病毒行为数据的历史流量数据，构建数据集，以得到初始数据集；
对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集；所述数据预处理包括数据清洗、特征提取以及特征筛选；
对所述处理后数据集进行划分，并基于划分后得到的目标训练集、目标验证集以及目标验证集分别对初始离散型朴素贝叶斯模型进行模型训练、模型验证以及模型测试。
3.根据权利要求2所述的基于蜜罐技术的蠕虫病毒检测方法，其特征在于，所述对所述初始数据集中的所述历史流量数据进行数据预处理，得到处理后数据集，包括：
在进行特征提取时，基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取，得到相应的待筛选特征；
通过对与各所述历史流量数据对应的所述待筛选特征进行特征筛选，以得到处理后数据集。
4.根据权利要求3所述的基于蜜罐技术的蠕虫病毒检测方法，其特征在于，所述基于预设的蠕虫病毒行为特征类型对清洗后的各所述历史流量数据进行特征提取之前，还包括：
通过预先对已知的蠕虫病毒行为特征进行分析，得到相应的蠕虫病毒行为特征类型；所述蠕虫病毒行为特征类型包括流量包大小、传输协议类型以及目标传输端口。
5.根据权利要求2所述的基于蜜罐技术的蠕虫病毒检测方法，其特征在于，基于划分后得到的目标训练集对初始离散型朴素贝叶斯模型进行模型训练，包括：
基于划分后得到的目标训练集并利用预设的先验概率公式以及条件概率公式对初始离散型朴素贝叶斯模型进行模型训练。
6.根据权利要求1至5任一项所述的基于蜜罐技术的蠕虫病毒检测方法，其特征在于，所述基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果，包括：
通过判断所述待检测二进制数据是否满足预先配置的Yara规则中的各匹配条件来对所述待检测二进制数据进行规则匹配，得到相应的匹配结果。
7.根据权利要求6所述的基于蜜罐技术的蠕虫病毒检测方法，其特征在于，基于所述匹配结果判断当前是否存在蠕虫病毒，包括：
当所述匹配结果表明当前存在任一所述匹配条件未被满足时，确定所述待检测二进制数据为正常二进制数据。
8.一种基于蜜罐技术的蠕虫病毒检测装置，其特征在于，应用于当前蜜罐系统中的蜜罐节点，包括：
流量监测模块，用于通过利用预先训练好的离散型朴素贝叶斯模型对采集到的流量数据进行实时分类和监测，得到相应的监测结果；
二进制数据检测模块，用于在实时流量监测的过程中，当捕获到相应的待检测二进制数据时，基于预先配置的Yara规则对所述待检测二进制数据进行规则匹配，得到相应的匹配结果；
蠕虫病毒判断模块，用于基于所述监测结果和/或所述匹配结果判断当前是否存在蠕虫病毒，如果是则触发报警操作并执行相应的防御措施。
9.一种电子设备，其特征在于，包括：
存储器，用于保存计算机程序；
处理器，用于执行所述计算机程序以实现如权利要求1至7任一项所述的基于蜜罐技术的蠕虫病毒检测方法。
10.一种计算机可读存储介质，其特征在于，用于保存计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的基于蜜罐技术的蠕虫病毒检测方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310686490.4A CN116800483A (zh) | 2023-06-09 | 2023-06-09 | 基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310686490.4A CN116800483A (zh) | 2023-06-09 | 2023-06-09 | 基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN116800483A true CN116800483A (zh) | 2023-09-22 |
Family
ID=88033830
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310686490.4A Pending CN116800483A (zh) | 2023-06-09 | 2023-06-09 | 基于蜜罐技术的蠕虫病毒检测方法、装置、设备及介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116800483A (zh) |
-
2023
- 2023-06-09 CN CN202310686490.4A patent/CN116800483A/zh active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU2018203393B2 (en) | Path scanning for the detection of anomalous subgraphs and use of dns requests and host agents for anomaly/change detection and network situational awareness | |
| Strayer et al. | Botnet detection based on network behavior | |
| Kirubavathi et al. | Botnet detection via mining of traffic flow characteristics | |
| JP5307090B2 (ja) | 正常データのｎグラム分布を用いてペイロード異常を検出するための装置、方法、及び媒体 | |
| Lu et al. | Clustering botnet communication traffic based on n-gram feature selection | |
| US8650646B2 (en) | System and method for optimization of security traffic monitoring | |
| US9130982B2 (en) | System and method for real-time reporting of anomalous internet protocol attacks | |
| US10116696B2 (en) | Network privilege manager for a dynamically programmable computer network | |
| US9094288B1 (en) | Automated discovery, attribution, analysis, and risk assessment of security threats | |
| US11700269B2 (en) | Analyzing user behavior patterns to detect compromised nodes in an enterprise network | |
| Catak et al. | Distributed denial of service attack detection using autoencoder and deep neural networks | |
| CN111935170A (zh) | 一种网络异常流量检测方法、装置及设备 | |
| Rawat et al. | Association rule learning for threat analysis using traffic analysis and packet filtering approach | |
| JP6442051B2 (ja) | コンピュータネットワークへの攻撃を検出する方法 | |
| JP6168977B2 (ja) | 異常なインターネットプロトコル攻撃のリアルタイム報告を行うシステム及び方法 | |
| US20230171277A1 (en) | Network anomaly detection | |
| US20220263846A1 (en) | METHODS FOR DETECTING A CYBERATTACK ON AN ELECTRONIC DEVICE, METHOD FOR OBTAINING A SUPERVISED RANDOM FOREST MODEL FOR DETECTING A DDoS ATTACK OR A BRUTE FORCE ATTACK, AND ELECTRONIC DEVICE CONFIGURED TO DETECT A CYBERATTACK ON ITSELF | |
| Ibrahim et al. | A distributed intrusion detection scheme for cloud computing | |
| JP6592196B2 (ja) | 悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラム | |
| JP2007074339A (ja) | 拡散型不正アクセス検出方法および拡散型不正アクセス検出システム | |
| JPWO2015141628A1 (ja) | Ｕｒｌ選定方法、ｕｒｌ選定システム、ｕｒｌ選定装置及びｕｒｌ選定プログラム | |
| JP2009089224A (ja) | 異常検知装置、プログラム、および記録媒体 | |
| Virmani et al. | Entropy deviation method for analyzing network intrusion | |
| US20220329625A1 (en) | Systems and methods for ip spoofing security | |
| Yong et al. | Understanding botnet: From mathematical modelling to integrated detection and mitigation framework |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |