TWI405434B - 殭屍網路偵測系統及方法 - Google Patents

殭屍網路偵測系統及方法 Download PDF

Info

Publication number
TWI405434B
TWI405434B TW098122517A TW98122517A TWI405434B TW I405434 B TWI405434 B TW I405434B TW 098122517 A TW098122517 A TW 098122517A TW 98122517 A TW98122517 A TW 98122517A TW I405434 B TWI405434 B TW I405434B
Authority
TW
Taiwan
Prior art keywords
state
probability
value
network
burst
Prior art date
Application number
TW098122517A
Other languages
English (en)
Other versions
TW201103281A (en
Inventor
Hahn Ming Lee
Ching Hao Mao
yu jie Chen
Yi Hsun Wang
Je Rome Yeh
Tsuhan Chen Chen
Original Assignee
Univ Nat Taiwan Science Tech
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Univ Nat Taiwan Science Tech filed Critical Univ Nat Taiwan Science Tech
Priority to TW098122517A priority Critical patent/TWI405434B/zh
Priority to US12/726,272 priority patent/US8307459B2/en
Publication of TW201103281A publication Critical patent/TW201103281A/zh
Application granted granted Critical
Publication of TWI405434B publication Critical patent/TWI405434B/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

殭屍網路偵測系統及方法
本發明係有關於一種電腦系統與方法，特別是有關於一種偵測僵屍網路(botnet)的電腦系統與方法。
近年來，用於從事惡意目的的殭屍網路(botnet)活動數量正與日俱增。不法的殭屍操控者(Botmaster)可從他處集中操控殭屍程式，下指令啟動殭屍程式(bot)來執行大規模的惡意活動，包括散佈垃圾郵件、網路釣魚、阻絕服務程式(DoS)攻擊及勒索威脅。
傳統上用以偵測僵屍網路的方法，多半依賴已知的病毒碼，且無法早期偵測到僵屍網路。
因此，需要一種能夠有效偵測僵屍網路的系統與方法。
本發明提供一種僵屍網路偵測系統，其包括：一突發流量特徵萃取器，接收一偵測對象網路中一網際網路中繼聊天(IRC)封包的欄位值，並據以計算一突發流量特徵值；一模型參數估算器，依據該突發流量特徵值，決定混合隱藏式馬可夫模型(Hybrid Hidden Markov Model,HHMM)所需之機率參數值；一模型產生器，依據該機率參數值，並配合預先定義的網路行為狀態類別，建立混合隱藏式馬可夫模型之機率時序模型；及一可疑狀態偵測器，當接收到一新的IRC封包，並由突發流量特徵萃取器據以產生突發流量特徵值之後，該可疑狀態偵測器將該突發流量特徵值輸入該混合隱藏式馬可夫模型之機率時序模型中，據以判斷該偵測對象網路的中繼聊天流量狀態是否為可疑流量狀態，若是，則產生相對的警告訊息。
本發明另提供一種殭屍網路偵測方法，其包括：接收一偵測對象網路中一網際網路中繼聊天(IRC)封包的欄位值，並據以計算一突發流量特徵值；依據該突發流量特徵值，決定混合隱藏式馬可夫模型(Hybrid Hidden Markov Model,HHMM)所需之機率參數值；依據該機率參數值，並配合預先定義的網路行為狀態類別，建立混合隱藏式馬可夫模型之機率時序模型；及當接收到一新的IRC封包，並由突發流量特徵萃取器據以產生突發流量特徵值之後，該可疑狀態偵測器將該突發流量特徵值輸入該混合隱藏式馬可夫模型之機率時序模型中，據以判斷該偵測對象網路的中繼聊天流量狀態是否為可疑流量狀態，若是，則產生相對的警告訊息。
為讓本發明之上述和其他目的、特徵、和優點能更明顯易懂，下文特舉出較佳實施例，並配合所附圖式，作詳細說明如下：
第1圖顯示依據本發明實施例之僵屍網路偵測系統之方塊圖。
如第1圖所示，僵屍網路偵測系統100主要包括：一IRC網路封包收集器110、一突發流量特徵萃取器130、一模型參數估算器150、一模型產生器170、一可疑狀態偵測器190、及一警告資料庫180。
IRC網路封包收集器110從網路收集封包，並篩選出網際網路中繼聊天(Internet Relay Chat,IRC)封包，擷取並輸出該IRC封包的欄位值。
突發流量特徵萃取器130接收該IRC封包的欄位值，並據以計算突發流量特徵值。在此，突發流量特徵值有二：其一為每秒鐘封包大小的平均值，另一則是每秒鐘封包間隔時間的平均值。
模型參數估算器150，依據該突發流量特徵值，決定混合隱藏式馬可夫模型(Hybrid Hidden Markov Model,HHMM)所需之機率參數值，亦即轉換機率(transition probability)參數及輸出機率(emission probability)參數。
模型參數估算器150包括轉換機率參數估算器151及輸出機率參數估算器153。
其中，轉換機率參數估算器151依據該突發流量特徵值，計算各個預先定義的狀態間轉換機率，以產生轉換機率參數。轉換機率參數估算器151利用條件機率配合統計的計次法則(Counting rule)，依序計算每一筆訓練資料(Instance)所屬的行為狀態類別在整個訓練資料集(Training set)中所佔有的比率，該比率便是該筆資料的轉換機率。
輸出機率參數估算器153依據該突發流量特徵值，計算該流量突發特徵值符合各個預先定義狀態的可能機率，以產生該輸出機率參數。輸出機率參數估算器153利用條件機率配合統計的計次法則，計算每一個訓練資料中萃取出的特徵向量值在行為狀態中的機率。
模型產生器170依據該轉換機率參數及該輸出機率參數，並配合預先定義的網路行為狀態類別，建立混合隱藏式馬可夫模型之機率時序模型，供後續用於偵測殭屍網路所產生的異常流量。在此，預先定義了三種網路行為狀態類別：正常行為狀態(Normal state)、閒置行為狀態(Idle state)和動作行為狀態(Active state)。
模型參數估算器150及模型產生器170係在訓練階段運作，由收集到的IRC封包產生混合隱藏式馬可夫模型之機率時序模型，以供後續偵測僵屍網路之用。
當突發流量特徵萃取器130從一偵測對象網路接收到IRC封包，並由突發流量特徵萃取器130據以產生突發流量特徵值之後，由可疑狀態偵測器190將該突發流量特徵值輸入該混合隱藏式馬可夫模型之機率時序模型，判斷該偵測對象網路的中繼聊天流量狀態是否為可疑流量狀態，若是，則產生並儲存相對的警告訊息。
可疑狀態偵測器190包括一狀態估算器191、狀態對應器193及先前狀態暫存器195。
狀態估算器191依據突發流量特徵萃取器130輸入的突發流量特徵值及先前網路行為狀態類別，決定在混合隱藏式馬可夫模型中，對應各個預先定義的網路行為狀態(正常行為狀態、閒置行為狀態和動作行為狀態)的機率值。狀態估算器191利用前向式演算法(Forward algorithm)，亦即將利用混合隱藏式馬可夫模型所計算出的各個網路突發流量特徵機率值加總，以計算目前網路的行為狀態在各個預先定義的網路行為狀態的機率值。
狀態對應器193從狀態估算器191輸入的各個網路行為狀態的機率值，決定目前網路狀態所屬的網路行為狀態類別，且判斷其是否為需警告的網路行為狀態類別，並暫時儲存此網路行為狀態類別。狀態對應器193當目前網路的行為狀態所屬的預先定義網路行為狀態為閒置行為狀態或動作行為狀態則產生警告。
先前狀態暫存器195暫存由狀態對應器193所產生的網路行為狀態類別，以提供狀態估算器191計算下一筆流量在各個網路行為狀態的機率值。
警告資料庫180儲存狀態對應器193產生的警告訊息，以供後續使用。
第2圖顯示依據本發明實施例之殭屍網路偵測方法的流程圖。
步驟S201為訓練階段，建立被偵測之網路的混合隱藏式馬可夫模型。步驟S205為檢測階段，依據已建立的混合隱藏式馬可夫模型，判斷目前網路之行為狀態類別。
上述訓練階段及檢測階段的詳細步驟如第3圖及第4圖所示。
第3圖顯示第2圖之訓練階段的流程圖。
步驟S301中，從網路收集封包，並篩選出網際網路中繼聊天(Internet Relay Chat,IRC)封包，擷取並輸出該IRC封包的欄位值。
步驟S303中，計算突發流量特徵值。在此，突發流量特徵值有二：其一為每秒鐘封包大小的平均值，另一則是每秒鐘封包間隔時間的平均值。
步驟S305中，依據該突發流量特徵值，計算各個預先定義的狀態間轉換機率，以產生轉換機率參數。利用條件機率配合統計的計次法則(Counting rule)，依序計算每一筆訓練資料(Instance)所屬的行為狀態類別在整個訓練資料集(Training set)中所佔有的比率，該比率便是該筆資料的轉換機率。
步驟S307中，依據該突發流量特徵值，計算該流量突發特徵值符合各個預先定義狀態的可能機率，以產生該輸出機率參數。利用條件機率配合統計的計次法則，計算每一個訓練資料中萃取出的特徵向量值在行為狀態中的機率。
步驟S309中，依據該轉換機率參數及輸出機率參數，產生混合隱藏式馬可夫模型之機率時序模型。
第4圖顯示第2圖中檢測階段的流程圖。
步驟S401中，從網路收集封包，並篩選出網際網路中繼聊天(Internet Relay Chat,IRC)封包，擷取並輸出該IRC封包的欄位值。
步驟S402中，計算突發流量特徵值。在此，突發流量特徵值有二：其一為每秒鐘封包大小的平均值，另一則是每秒鐘封包間隔時間的平均值。
當從一偵測對象網路接收到IRC封包，並據以產生突發流量特徵值之後，在步驟S403中，依據突發流量特徵值及先前網路行為狀態類別，判斷並儲存目前的網路狀態。亦即，依據突發流量特徵值及先前網路行為狀態類別，決定在混合隱藏式馬可夫模型中，對應各個預先定義的網路行為狀態(正常行為狀態、閒置行為狀態和動作行為狀態)的機率值。
步驟S404中，判斷目前的網路狀態是否為閒置行為狀態，若是，則該方法執行步驟S406，否則，該方法執行步驟S405。
在步驟S405中，判斷目前的網路狀態是否為動作行為狀態，若是，則該方法執行步驟S406，否則，該方法結束。
在步驟S406中，發出並儲存警告訊息。
如上述，本系統設立閒置行為狀態，可以用於偵測早期的殭屍網路流量，即偵測出尚在等待駭客或攻擊者命令的殭屍網路，可於殭屍電腦(Bots)發動攻擊前便可以偵測出來，並提醒管理人員進行處理，以減少因為殭屍網路產生攻擊時的修復成本。
雖然本發明已以較佳實施例揭露如上，然其並非用以限定本發明，任何熟習此技藝者，在不脫離本發明之精神和範圍內，當可作些許之更動與潤飾，因此本發明之保護範圍當視後附之申請專利範圍所界定者為準。
100．．．僵屍網路偵測系統
110．．．IRC網路封包收集器
130．．．突發流量特徵萃取器
150．．．模型參數估算器
151．．．轉換機率參數估算器
153．．．輸出機率參數估算器
170．．．模型產生器
190．．．可疑狀態偵測器
191．．．狀態估算器
193．．．狀態對應器
195．．．先前狀態暫存器
180．．．警告資料庫
第1圖顯示依據本發明實施例之僵屍網路偵測系統之方塊圖。
第2圖顯示依據本發明實施例之殭屍網路偵測方法的流程圖。
第3圖顯示第2圖之訓練階段的流程圖。
第4圖顯示第2圖中檢測階段的流程圖。
100．．．僵屍網路偵測系統
110．．．IRC網路封包收集器
130．．．突發流量特徵萃取器
150．．．模型參數估算器
151．．．轉換機率參數估算器
153．．．輸出機率參數估算器
170．．．模型產生器
190．．．可疑狀態偵測器
191．．．狀態估算器
193．．．狀態對應器
195．．．先前狀態暫存器
180．．．警告資料庫

Claims (18)

  1. 一種僵屍網路偵測系統，其包括：一突發流量特徵萃取器，接收一偵測對象網路中一網際網路中繼聊天(IRC)封包的欄位值，並據以計算一突發流量特徵值；一模型參數估算器，依據該突發流量特徵值，決定混合隱藏式馬可夫模型(Hybrid Hidden Markov Model,HHMM)所需之機率參數值，其中該機率參數值包括一轉換機率參數值及一輸出機率參數值，其中該模型參數估算器包括：一轉換機率參數估算器，其依據該突發流量特徵值，計算各個預先定義的狀態間轉換機率，以產生該轉換機率參數值；及一輸出機率參數估算器，其依據該突發流量特徵值，計算該流量突發特徵值符合各個預先定義狀態的可能機率，以產生該輸出機率參數值；一模型產生器，依據該機率參數值，並配合預先定義的網路行為狀態類別，建立混合隱藏式馬可夫模型之機率時序模型；及一可疑狀態偵測器，當接收到一新的IRC封包，並由突發流量特徵萃取器據以產生突發流量特徵值之後，該可疑狀態偵測器將該突發流量特徵值輸入該混合隱藏式馬可夫模型之機率時序模型中，據以判斷該偵測對象網路的中繼聊天流量狀態是否為可疑流量狀態，若是，則產生相對的警告訊息。
  2. 如申請專利範圍第1項所述之僵屍網路偵測系統， 更包括一網際網路中繼聊天(IRC)封包收集器，其從該偵測對象網路收集封包，並從收集之該封包中篩選出網際網路中繼聊天(Internet Relay Chat,IRC)封包，擷取該IRC封包的欄位值，並將該IRC封包的欄位值輸出給該突發流量特徵萃取器。
  3. 如申請專利範圍第1項所述之僵屍網路偵測系統，其中該突發流量特徵值包括：每秒鐘封包大小的平均值、及每秒鐘封包間隔時間的平均值。
  4. 如申請專利範圍第1項所述之僵屍網路偵測系統，其中該轉換機率參數估算器利用條件機率配合統計的計次法則(Counting rule)，依序計算每一筆訓練資料(Instance)所屬的行為狀態類別在整個訓練資料集(Training set)中所佔有的比率，該比率即為該筆資料的轉換機率參數值。
  5. 如申請專利範圍第1項所述之僵屍網路偵測系統，其中該輸出機率參數估算器利用條件機率配合統計的計次法則，計算每一個訓練資料中萃取出的特徵向量值在行為狀態中的機率，作為該輸出機率參數值。
  6. 如申請專利範圍第1項所述之僵屍網路偵測系統，其中該預先定義的網路行為狀態類別包括正常行為狀態(Normal state)、閒置行為狀態(Idle state)和動作行為狀態(Active state)，其中該閒置行為狀態及該動作行為狀態屬於該可疑流量狀態。
  7. 如申請專利範圍第1項所述之僵屍網路偵測系統，該可疑狀態偵測器包括：一狀態估算器，依據該突發流量特徵值及先前網路行為狀態類別，決定在混合隱藏式馬可夫模型中，對應各個 預先定義的網路行為狀態的機率值；一狀態對應器，依據各個網路行為狀態的機率值，決定目前網路狀態所屬的網路行為狀態類別，且判斷其是否為需警告的網路行為狀態類別；及一先前狀態暫存器，暫存由該狀態對應器所產生的網路行為狀態類別，以提供該狀態估算器計算下一筆流量在各個網路行為狀態的機率值。
  8. 如申請專利範圍第7項所述之僵屍網路偵測系統，該狀態估算器將利用混合隱藏式馬可夫模型所計算出的各個網路突發流量特徵機率值加總，以計算目前網路的行為狀態在各個預先定義的網路行為狀態的機率值。
  9. 如申請專利範圍第1項所述之僵屍網路偵測系統，更包括一警告資料庫，其儲存該警告訊息，以供後續使用。
  10. 一種殭屍網路偵測方法，其包括：接收一偵測對象網路中一網際網路中繼聊天(IRC)封包的欄位值，並據以計算一突發流量特徵值；依據該突發流量特徵值，決定混合隱藏式馬可夫模型(Hybrid Hidden Markov Model,HHMM)所需之機率參數值，其中該機率參數值包括一轉換機率參數值及一輸出機率參數值，該步驟包括：依據該突發流量特徵值，計算各個預先定義的狀態間轉換機率，以產生該轉換機率參數值；及依據該突發流量特徵值，計算該流量突發特徵值符合各個預先定義狀態的可能機率，以產生該輸出機率參數值；依據該機率參數值，並配合預先定義的網路行為狀態類別，建立混合隱藏式馬可夫模型之機率時序模型；及 當接收到一新的IRC封包，並由突發流量特徵萃取器據以產生突發流量特徵值之後，該可疑狀態偵測器將該突發流量特徵值輸入該混合隱藏式馬可夫模型之機率時序模型中，據以判斷該偵測對象網路的中繼聊天流量狀態是否為可疑流量狀態，若是，則產生相對的警告訊息。
  11. 如申請專利範圍第10項所述之殭屍網路偵測方法，更從該偵測對象網路收集封包，並從收集之該封包中篩選出網際網路中繼聊天(Internet Relay Chat,IRC)封包，擷取該IRC封包的欄位值。
  12. 如申請專利範圍第10項所述之殭屍網路偵測方法，其中該突發流量特徵值包括：每秒鐘封包大小的平均值、及每秒鐘封包間隔時間的平均值。
  13. 如申請專利範圍第10項所述之殭屍網路偵測方法，利用條件機率配合統計的計次法則(Counting rule)，依序計算每一筆訓練資料(Instance)所屬的行為狀態類別在整個訓練資料集(Training set)中所佔有的比率，該比率即為該筆資料的轉換機率。
  14. 如申請專利範圍第10項所述之殭屍網路偵測方法，利用條件機率配合統計的計次法則，計算每一個訓練資料中萃取出的特徵向量值在行為狀態中的機率，作為該輸出機率參數值。
  15. 如申請專利範圍第10項所述之殭屍網路偵測方法，其中該預先定義的網路行為狀態類別包括正常行為狀態(Normal state)、閒置行為狀態(Idle state)和動作行為狀態(Active state)，其中該閒置行為狀態及該動作行為狀態屬於該可疑流量狀態。
  16. 如申請專利範圍第10項所述之殭屍網路偵測方法，更包括：依據該突發流量特徵值及先前網路行為狀態類別，決定在混合隱藏式馬可夫模型中，對應各個預先定義的網路行為狀態的機率值；依據各個網路行為狀態的機率值，決定目前網路狀態所屬的網路行為狀態類別，且判斷其是否為需警告的網路行為狀態類別；及暫存由該狀態對應器所產生的網路行為狀態類別，以提供計算下一筆流量在各個網路行為狀態的機率值之用。
  17. 如申請專利範圍第16項所述之殭屍網路偵測方法，將利用混合隱藏式馬可夫模型所計算出的各個網路突發流量特徵機率值加總，以計算目前網路的行為狀態在各個預先定義的網路行為狀態的機率值。
  18. 如申請專利範圍第10項所述之殭屍網路偵測方法，更儲存該警告訊息，以供後續使用。
TW098122517A 2009-07-03 2009-07-03 殭屍網路偵測系統及方法 TWI405434B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
TW098122517A TWI405434B (zh) 2009-07-03 2009-07-03 殭屍網路偵測系統及方法
US12/726,272 US8307459B2 (en) 2009-07-03 2010-03-17 Botnet early detection using hybrid hidden markov model algorithm

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
TW098122517A TWI405434B (zh) 2009-07-03 2009-07-03 殭屍網路偵測系統及方法

Publications (2)

Publication Number Publication Date
TW201103281A TW201103281A (en) 2011-01-16
TWI405434B true TWI405434B (zh) 2013-08-11

Family

ID=43413333

Family Applications (1)

Application Number Title Priority Date Filing Date
TW098122517A TWI405434B (zh) 2009-07-03 2009-07-03 殭屍網路偵測系統及方法

Country Status (2)

Country Link
US (1) US8307459B2 (zh)
TW (1) TWI405434B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI596498B (zh) * 2016-11-02 2017-08-21 FedMR-based botnet reconnaissance method

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI616771B (zh) 2016-04-25 2018-03-01 宏碁股份有限公司 殭屍網路偵測系統及其方法
US10243981B2 (en) 2016-09-09 2019-03-26 Ca, Inc. Bot detection based on divergence and variance
US10135852B2 (en) 2016-09-09 2018-11-20 Ca, Inc. Bot detection based on behavior analytics
US10075463B2 (en) 2016-09-09 2018-09-11 Ca, Inc. Bot detection system based on deep learning
TWI636680B (zh) * 2016-12-14 2018-09-21 中華電信股份有限公司 System and method for detecting suspicious domain names based on semi-passive domain name server
CN106911675B (zh) * 2017-02-09 2019-02-26 中国移动通信集团设计院有限公司 一种手机恶意软件预警方法和装置
TWI666568B (zh) * 2018-04-30 2019-07-21 國立成功大學 在Netflow上以會話型式之P2P殭屍網路偵測方法
CN108881255B (zh) * 2018-06-29 2020-11-13 长扬科技（北京）有限公司 一种基于c&c通信状态转换检测僵尸网络的方法
CN111818049B (zh) * 2020-07-08 2022-08-09 宝牧科技（天津）有限公司 一种基于马尔可夫模型的僵尸网络流量检测方法及系统
CN115733642A (zh) * 2021-08-30 2023-03-03 华为技术有限公司 流量特征提取方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6622150B1 (en) * 2000-12-18 2003-09-16 Networks Associates Technology, Inc. System and method for efficiently managing computer virus definitions using a structured virus database
TW200702988A (en) * 2005-07-11 2007-01-16 Via Tech Inc Command process method for RAID
TW200912682A (en) * 2007-09-05 2009-03-16 Lionic Corp Method and apparatus for preventing web page attacks

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8271422B2 (en) * 2008-11-29 2012-09-18 At&T Intellectual Property I, Lp Systems and methods for detecting and coordinating changes in lexical items

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6622150B1 (en) * 2000-12-18 2003-09-16 Networks Associates Technology, Inc. System and method for efficiently managing computer virus definitions using a structured virus database
TW200702988A (en) * 2005-07-11 2007-01-16 Via Tech Inc Command process method for RAID
TW200912682A (en) * 2007-09-05 2009-03-16 Lionic Corp Method and apparatus for preventing web page attacks

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI596498B (zh) * 2016-11-02 2017-08-21 FedMR-based botnet reconnaissance method

Also Published As

Publication number Publication date
US20110004936A1 (en) 2011-01-06
US8307459B2 (en) 2012-11-06
TW201103281A (en) 2011-01-16

Similar Documents

Publication Publication Date Title
TWI405434B (zh) 殭屍網路偵測系統及方法
KR101070614B1 (ko) 봇넷 정보를 이용한 악성 트래픽 격리 시스템과 봇넷 정보를 이용한 악성 트래픽 격리 방법
Chen et al. CBF: a packet filtering method for DDoS attack defense in cloud environment
CN101895521B (zh) 一种网络蠕虫检测与特征自动提取方法及其系统
CN107222491B (zh) 一种基于工业控制网络变种攻击的入侵检测规则创建方法
CN101635658B (zh) 网络失窃密行为的异常检测方法及系统
CN106534068B (zh) 一种ddos防御系统中清洗伪造源ip的方法和装置
CN103078752A (zh) 一种检测邮件攻击的方法、装置及设备
CN105812318B (zh) 用于在网络中防止攻击的方法、控制器和系统
JP2007179131A (ja) イベント検出システム、管理端末及びプログラムと、イベント検出方法
CN106487790B (zh) 一种ack flood攻击的清洗方法及系统
Shanthi et al. Detection of botnet by analyzing network traffic flow characteristics using open source tools
Wang et al. Modeling connections behavior for web-based bots detection
CN101997830B (zh) 一种分布式入侵检测方法、装置和系统
CN108322454B (zh) 一种网络安全检测方法及装置
JP2007074339A (ja) 拡散型不正アクセス検出方法および拡散型不正アクセス検出システム
CN103139219A (zh) 基于可信交换机的生成树协议的攻击检测方法
CN111031077B (zh) 一种流量清洗方法、流量清洗系统和设备
KR101124615B1 (ko) 집단행동 악성코드 검색 방법 및 장치
Yan et al. Catching Instant Messaging Worms with Change-Point Detection Techniques.
CN103139206A (zh) 一种僵尸主机的检测方法及装置
Lee et al. DDoS attacks detection using GA based optimized traffic matrix
Lu et al. Network security situation awareness based on network simulation
Raj et al. Sink Hole attack detection using two step verification technique in wireless sensor networks
CN108521413A (zh) 一种未来信息战争的网络抵抗和防御方法及系统

Legal Events

Date Code Title Description
MM4A Annulment or lapse of patent due to non-payment of fees