WO2011000297A1 - 一种检测僵尸网络的方法及其装置 - Google Patents

一种检测僵尸网络的方法及其装置 Download PDF

Info

Publication number
WO2011000297A1
WO2011000297A1 PCT/CN2010/074611 CN2010074611W WO2011000297A1 WO 2011000297 A1 WO2011000297 A1 WO 2011000297A1 CN 2010074611 W CN2010074611 W CN 2010074611W WO 2011000297 A1 WO2011000297 A1 WO 2011000297A1
Authority
WO
WIPO (PCT)
Prior art keywords
host
access request
executable program
access
unit
Prior art date
Application number
PCT/CN2010/074611
Other languages
English (en)
French (fr)
Inventor
蒋武
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Publication of WO2011000297A1 publication Critical patent/WO2011000297A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets

Definitions

  • Embodiments of the present invention provide a method and apparatus for detecting a botnet in real time, which can actively determine a location of a zombie host before being attacked by a botnet, thereby detecting a botnet.
  • a method of detecting a botnet includes:
  • a device for detecting a botnet includes:
  • An obtaining unit configured to acquire a data packet in the network
  • the analyzing unit is configured to perform security analysis on the executable program in the data packet acquired by the obtaining unit, and determine the harmful executable program as a malicious resource;
  • a monitoring unit configured to monitor whether the malicious resource obtained by the analysis unit has an access request
  • a determining unit configured to determine, when there is an access request, the host that issued the access request as a zombie host. It can be seen from the foregoing technical solution that the embodiment of the present invention actively acquires data packets in the network, performs security analysis on the executable program in the data packet, and then monitors the request host address of the executable program that accesses the hazard. , it can be determined that the host that issued the request is a zombie host, thereby actively determining the location of the zombie host and detecting the existence of the botnet before being attacked by the botnet.
  • FIG. 1 is a schematic structural diagram of a botnet multi-level control architecture
  • FIG. 2 is a schematic structural diagram of a botnet peer-to-peer protocol architecture
  • FIG. 4 is a schematic flow chart of a method according to Embodiment 2 of the present invention.
  • FIG. 5 is a schematic structural view of an apparatus according to an embodiment of the present invention.
  • the architecture of a botnet generally has:
  • Multi-level control architecture See Figure 1, Figure 1 is a schematic diagram of the botnet multi-level control architecture. From top to bottom, the attacker, the console, the zombie host, and the victim; the attacker implants the bot to the zombie host through the console to attack the victim; the console can be a multi-level control structure, based on the Internet relay. In the botnet implemented by the chat protocol (IRC, Internet Relay Chat), the console can be an IRC server.
  • IRC Internet Relay Chat
  • Peer-to-peer (P2P, peer-to-peer) structure See Figure 2, Figure 2 is a schematic diagram of the structure of the botnet peer-to-peer protocol architecture. It is more insidious and harmful; an attacker can attack a victim by implanting a bot with a database that locates the location of the file to all bots connected to the database.
  • the embodiment of the present invention utilizes the "access" feature.
  • the host address of the malicious resource requesting access to the network is monitored to determine the zombie host.
  • FIG. 3 is a schematic flowchart of the method according to the embodiment.
  • Step 101 Obtain a data packet in the network.
  • Hypertext Transfer Protocol (HTTP, Hyper Text Transfer) is often used for network access.
  • Protocols, File Transfer Protocol (FTP), Trivial File Transfer Protocol (TFTP), in the embodiment of the present invention directly obtain data packets transmitted by using the protocols in the network, or The data packets using these protocols can also be filtered out after the data packets in the network are obtained.
  • the deep packet inspection technology (DPI, Deep Packet Inspection) can be used for filtering. Obviously, the above-mentioned several protocols use more protocols, and obtaining data packets transmitted by using other protocols does not affect the implementation of the embodiments of the present invention.
  • Step 102 Perform security analysis on the executable program in the data, and determine the harmful executable program as a malicious resource.
  • Hazardous executables are programs that create dangerous behavior, such as unauthorized access, buffer overflows, denial of service, information being modified, and so on.
  • Step 103 Monitor the malicious resource for access requests.
  • the access path of a specific malicious resource may also be determined first, and then the access request of the access path is monitored.
  • the access path may be a download path.
  • the access path of the malicious resource is "server ⁇ / home directory ⁇ / subdirectory C", and the access request for accessing the malicious path is monitored.
  • Step 104 When there is an access request, it is determined that the host that issued the access request is a zombie host.
  • the host that determines the access request sent by step 103 is a zombie host.
  • the embodiment of the present invention can determine that the request is sent by actively acquiring a data packet in the network, performing security analysis on the executable program in the data packet, and then monitoring the request host address of the executable program that is in danger.
  • the host is a zombie host, which actively determines the location of the zombie host before attacking the botnet and detects the presence of the botnet.
  • the following embodiment 2 is an application embodiment of the first embodiment to monitor an access request for a malicious resource.
  • FIG. 4 is a schematic flowchart of a method according to the embodiment.
  • Step 201 Acquire a data packet in the network.
  • Step 203 Filter the data packet.
  • Filtering data packets can be implemented with deep packet inspection technology, which efficiently identifies various applications on the network.
  • the so-called "depth” is compared with the normal message analysis hierarchy.
  • the normal message detection only analyzes the contents of the packet below layer 4 (network layer, link layer, physical layer), including the source address, destination address, The source port, destination port, and protocol type, while the deep packet inspection technology adds analysis of the application layer analysis to identify various applications and their contents.
  • the identification technology of deep packet inspection technology can be divided into several types:
  • the first type is feature word-based recognition technology: Different applications usually use different protocols, and various protocols have their own special fingerprints, which may be specific ports, specific strings or specific bit streams. sequence.
  • the feature word-based recognition technology determines the application carried by the service flow by identifying the fingerprint information in the data message. By upgrading the fingerprint information, the feature word-based recognition technology can be easily extended to detect any protocol.
  • the identification of the Bit torrent protocol based on peer-to-peer protocol The peer-to-peer protocol always starts with a "handshake" followed by a looped message stream. Each message has a number to indicate the message. length. In the handshake process, first send "19” followed by the string "Bit Torrent protocol”. Therefore, it can be determined that "19 Bit Torrent Protocol" is the characteristic word of the Bit torrent protocol.
  • the second category is behavior pattern recognition technology: based on the research basis of various behaviors of the terminal, a behavior recognition model is established, and the behavior pattern recognition technology can judge the action being performed by the user or the action to be implemented according to the behavior that the user has already implemented. .
  • Behavior pattern recognition techniques are typically used for services that cannot be determined by the protocol itself. For example, from the content of email (email), there is no difference between spam (SPAM) traffic and normal email traffic. Only further analysis can identify SPAM emails. Specifically, the behavior recognition model can be established by the parameters of the rate of sending the mail, the number of destination email addresses, the frequency of change, the number of source email addresses, the frequency of changes, the frequency of rejection of the mail, and the like. Spam.
  • the access path of the filtered data packet, the name of the access program, the requesting access host, the accessed host, etc. are recorded in the database, and can be used for subsequent analysis.
  • the database can be a preset database for storing data packets and/or filtered data packets obtained from the network.
  • Step 204 Perform security analysis on the executable program in the stored data message, and determine the executable program containing the hazard as a malicious resource.
  • the security analysis can be carried out by referring to the analysis method of the anti-virus software, or directly using the existing anti-virus software for security analysis, and the anti-virus software alarm indicates that the executable program is harmful.
  • Step 205 Extract information of the malicious resource.
  • Monitors access requests from malicious resources based on information such as the access path of the extracted malicious resources, the name of the access program, and so on. It can be a request to access a program, or a request to access an access path.
  • Step 207 Determine that the host that issued the access request is a zombie host.
  • the above provides a method for detecting a botnet, and an embodiment of the present invention further provides an apparatus for detecting a botnet.
  • FIG. 5 is a schematic structural diagram of a device according to an embodiment of the present invention, including:
  • the obtaining unit 11 is configured to acquire a data packet in the network, and can also be used to filter the obtained data packet.
  • the analyzing unit 12 is configured to perform security analysis on the executable program in the data packet acquired by the obtaining unit 11, and determine the harmful executable program as a malicious resource; specifically, the stored data packet is stored, and then stored The executable program in the data message is analyzed for security.
  • the storage subunit 121 is configured to store the acquired data message.
  • the storage sub-unit 121 is further configured to store the data packet filtered by the obtaining unit 11.
  • the security analysis sub-unit 122 is configured to perform security analysis on the executable program in the data message stored by the storage sub-unit 121;
  • the line program is determined to be a malicious resource.
  • the security analysis can be carried out by referring to the analysis method of the anti-virus software, or directly using the existing anti-virus software for security analysis, and the anti-virus software alarm indicates that the executable program is harmful.
  • Hazardous executables are programs that create dangerous behavior, such as unauthorized access, buffer overflows, denial of service, information being modified, and so on.
  • Malicious resources are objects, such as data, programs, and code that are accessed and used by hosts on the network.
  • Network attackers often hide bots in malicious resources to blind users, so that bots can be hidden and not known to the user. Planted to a host that accesses malicious resources.
  • the monitoring unit 13 may include a path determining sub-unit 131 and a determining sub-unit 132.
  • the path determining sub-unit 131 is configured to determine an access path of the malicious resource.
  • the determining sub-unit 132 is configured to monitor the access path determined by the path determining sub-unit 131 to determine whether a host issues an access request.
  • the device of the embodiment of the present invention may exist on the gateway device to more effectively protect the network security.
  • the device in the embodiment of the present invention actively acquires the data packet in the network by the obtaining unit 11, and performs security analysis on the executable program in the data packet by the analyzing unit 12, and then the monitoring unit 13 monitors the access to the executable program that is harmful.
  • the requested host address determines that the host that issued the access request is a zombie host, thereby actively determining the location of the zombie host and detecting the presence of the botnet before being attacked by the botnet.
  • the modules of the device in the embodiment of the present invention may be integrated into one or may be separately deployed.
  • the above modules can be combined into one module, or can be further split into multiple sub-modules.
  • the computer readable storage medium which when executed, may include the flow of an embodiment of the methods as described above.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)

Description

一种检测僵尸网络的方法及其装置 本申请要求于 2009 年 6 月 29 日提交中国专利局， 申请号为： 200910142292.1 , 发明名称为 "一种检测僵尸网络的方法及其装置" 的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。
说
技术领域
本发明涉及计算机网络领域，尤其是涉及到一种检测僵尸网络的方法 及其装置。
背景技术
僵尸网络（Botnet )是网络攻击者将僵尸书工具 （Bot )植入到多个僵 尸主机（Zombie ), 然后利用僵尸主机上的僵尸工具控制僵尸主机去攻击 其他受害者主机的网络； 其中， 僵尸工具是被预定义的命令所远程控制， 并具有一定人工智能的程序 , 僵尸主机则为被植入僵尸工具的主机。
通过僵尸网络， 网络攻击者可利用僵尸主机隐蔽自己， 并控制僵尸主 机攻击其他主机达到非法目的， 例如进行分布式拒绝服务攻击 （DDos, Distributed Denial of Service ), 发送垃圾邮件、 窃取秘密、 滥用资源等攻 击行为， 使得僵尸网络成为目前互联网安全最严重的威胁之一。
要制止网络攻击者利用僵尸网络进行攻击，就必须确定僵尸网络的存 在； 而僵尸主机是僵尸网络的重要特征， 找到僵尸主机的所在， 则可进一 步对僵尸网络采取响应和防御措施。
现有技术中，一般是通过在站点或主机遭受僵尸网络攻击，或者部署 虚假主机引诱攻击者攻击后，获取僵尸工具的程序样本，采用逆向工程等 恶意代码分析手段，获得隐藏在代码中的僵尸网络的登录信息，使用定制 的僵尸程序登录到僵尸网络中去， 再进一步采取应对措施。
在对现有技术的研究和实践过程中，本发明的发明人发现存在以下问 题：
目前对僵尸网络的检测方法都是在遭受了僵尸网络的攻击后才被动 地进行检测， 较为滞后。 发明内容
本发明实施例提供一种能够实时检测僵尸网络的方法及其装置，能在 遭受到僵尸网络的攻击前主动地确定僵尸主机的位置，从而检测到僵尸网 络。
为解决上述技术问题， 本发明所提供的实施例是通过以下技术方案实 现的：
一种检测僵尸网络的方法， 包括：
获取网络中的数据报文； 程序确定为恶意资源；
监控所述恶意资源是否有访问请求；
当有访问请求时， 确定发出所述访问请求的主机为僵尸主机。
一种检测僵尸网络的装置， 包括：
获取单元， 用于获取网络中的数据报文；
分析单元， 用于对获取单元获取的数据报文中的可执行程序进行安全 性分析， 将有危害的可执行程序确定为恶意资源；
监控单元， 用于监控分析单元分析得到的所述恶意资源是否有访问请 求；
确定单元， 用于当有访问请求时， 确定发出访问请求的主机为僵尸主 机。 由上述技术方案可以看出， 本发明实施例通过主动获取网络中的数据 报文， 并对数据报文中的可执行程序进行安全性分析， 然后监控访问有危 害的可执行程序的请求主机地址， 即可确定发出所述请求的主机为僵尸主 机， 从而在遭受到僵尸网络的攻击前主动地确定僵尸主机的位置， 检测到 僵尸网络的存在。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述 中所需要使用的附图作筒单地介绍，显而易见地， 下面描述中的附图仅仅 是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性 劳动的前提下， 还可以根据这些附图获得其他的附图。 图 1是僵尸网络多级控制架构的结构示意图；
图 2是僵尸网络对等协议架构的结构示意图；
图 3是本发明实施例一的方法流程示意图；
图 4是本发明实施例二的方法流程示意图；
图 5是本发明实施例装置的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进 行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例， 而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没 有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的 范围。
僵尸网络的架构一般有：
1、 多级控制架构： 参见图 1 , 图 1为僵尸网络多级控制架构结构示意 图。 从上到下依次为攻击者、 控制端、 僵尸主机、 受害者； 攻击者通过控 制端向僵尸主机植入僵尸工具， 进而攻击受害者； 控制端可为多级控制结 构， 在基于因特网中继聊天协议（ IRC , Internet Relay Chat ) 实现的僵尸网 络中， 控制端可为 IRC服务器。
2、 对等协议（P2P， peer-to-peer ) 结构： 参见图 2, 图 2为僵尸网络 对等协议架构的结构示意图。 具有更强隐蔽性和危害性； 攻击者可通过控 制定位文件位置的数据库， 来将僵尸工具植入到与该数据库连接的所有主 机中， 进而攻击受害者。
发明人发现， 无论是哪一种网络架构， 僵尸主机都需要下载僵尸工具 才能被攻击者所控制， 而下载必须首先访问僵尸工具的地址； 因此， 本发 明实施例利用 "访问" 这一特性， 监控请求访问网络恶意资源的主机地址， 从而确定僵尸主机。
以下为本发明具体实施例。
实施例一、 参见图 3详细说明， 图 3为本实施例的方法流程示意图。 步骤 101 : 获取网络中的数据报文。
因网络访问经常使用的为超文本传输协议 ( HTTP, Hyper Text Transfer Protocol )、 文件传输协议（FTP, File Transfer Protocol ), 简单文件传输协 议（ TFTP， Trivial File Transfer Protocol )， 本发明实施例则可直接获取网络 中使用这几种协议进行传输的数据报文， 或者， 也可在获取网络中的数据 报文后过滤出使用这几种协议的数据报文， 其中， 可利用深度包检测技术 ( DPI, Deep Packet Inspection )进行过滤。 显然， 上述几种协议是使用较 多的协议， 获取使用其他协议进行传输的数据报文也不影响本发明实施例 的实现。
步骤 102: 对所述数据 ·|艮文中的可执行程序进行安全性分析， 将有危 害的可执行程序确定为恶意资源。
安全性分析可以参照杀毒软件的分析方法进行， 或者直接利用现有的 杀毒软件进行安全性分析， 杀毒软件报警则说明该可执行程序有危害。
有危害的可执行程序即为会产生危险行为的程序， 例如未经授权的访 问、 緩冲区溢出、 拒绝服务、 信息被修改等。
恶意资源为网络中被主机访问以及使用的数据、 程序、 代码等对象， 网络攻击者通常将僵尸工具隐藏在恶意资源中， 以蒙蔽用户， 使得僵尸工 具隐藏地、 不为访问用户所知地种植到访问恶意资源的主机中。
步骤 103: 监控恶意资源是否有访问请求。
还可先确定某一具体恶意资源的访问路径， 然后监控所述访问路径的 访问请求。 所述访问路径可以是下载路径。 该恶意资源的访问路径为 "服 务器 Α/主目录 Β/子目录 C" , 则监控访问该恶路径的访问请求。
步骤 104： 当有访问请求时， 确定发出访问请求的主机为僵尸主机。 确定发出步糠 103监控的访问请求的主机为僵尸主机。
本发明实施例通过主动获取网络中的数据报文， 并对数据报文中的可 执行程序进行安全性分析， 然后监控访问有危害的可执行程序的请求主机 地址， 即可确定发出所述请求的主机为僵尸主机， 从而在遭受到僵尸网络 的攻击前主动地确定僵尸主机的位置， 检测到僵尸网络的存在。 以下实施 例二为实施例一监控恶意资源的访问请求的应用实施例。
实施例二、 参见图 4详细说明， 图 4为本实施例的方法流程示意图。 步骤 201 : 获取网络中的数据报文。 步骤 203: 过滤数据报文。
因网络访问经常使用的应用层协议为 HTTP、 FTP, TFTP协议， 本发 明实施例则可直接获取网络中使用这几种协议进行传输的数据报文，或者， 也可在获取网络中的数据报文后过滤出使用这几种协议的数据报文。
过滤数据报文可通过深度包检测技术实现， 它能高效地识别出网络上 的各种应用。 所谓 "深度" 是和普通的报文分析层次相比较而言的， 普通 报文检测仅分析包的层 4 以下 （网络层、 链路层、 物理层） 的内容， 包括 源地址、 目的地址、 源端口、 目的端口以及协议类型， 而深度包检测技术 除了对前面提到的层次进行分析外， 还增加了应用层分析， 识别各种应用 及其内容。
深度包检测技术的识别技术可分为多种：
第一类是基于特征字的识别技术： 不同的应用通常会釆用不同的协 议， 而各种协议都有其特殊的指紋， 这些指紋可能是特定的端口、 特定的 字符串或者特定的比特流序列。基于特征字的识别技术，正是通过识别数 据报文中的指纹信息来确定业务流所承载的应用。 通过对指纹信息的升 级， 基于特征字的识别技术可以很方便地扩展到对任意协议的检测。
以基于对等协议的比特流 ( Bit torrent ) 协议的识别为例： 对等协议 总是由一个 "握手" 开始， 后面是循环的消息流， 每个消息的前面， 都有 一个数字来表示消息的长度。 在握手流程中， 首先发送 "19" , 跟着是字 符串 "Bit Torrent protocol"。 因此可以确定, "19 Bit Torrent Protocol" 就 是 Bit torrent协议的特征字。
第二类是行为模式识别技术：基于对终端的各种行为的研究基 ，建 立起行为识别模型，行为模式识别技术即可根据用户已经实施的行为，判 断用户正在进行的动作或者即将实施的动作。
行为模式识别技术通常用于那些无法由协议本身判定的业务。 例如， 从电子邮件 （ Email ) 的内容看， 垃圾邮件 （ SPAM ) 业务流与普通邮件业 务流两者没有区别， 只有进一步分析才能识别出 SPAM邮件。 具体可通过 发送邮件的速率、 目的邮件地址数目、 变化频率、 源邮件地址数目、 变化 频率、 邮件被拒绝的频率等参数， 建立起行为识别模型， 并以此分拣出垃 圾邮件。
步骤 203： 存储过滤后的数据报文。
将过滤后的数据报文的访问路径、 访问程序名称、 请求访问主机、 被 访问主机等记录下来， 存在数据库中， 可备后续分析之用。
数据库可为预置数据库， 用于存储从网络中获取的数据报文和 /或过滤 后的数据报文。
步骤 204: 对存储的数据报文中的可执行程序进行安全性分析， 将包 含有危害的可执行程序确定为恶意资源。
为便于传输， 攻击者要给僵尸主机植入的僵尸工具的所占空间不会太 大， 一般不会超过 2M, 因此， 可对占用空间小于 2M的可执行程序优先进 行安全性分析， 以提高检测恶意资源的效率。
安全性分析可以参照杀毒软件的分析方法进行，或者直接利用现有的 杀毒软件进行安全性分析， 杀毒软件报警则说明该可执行程序有危害。
通过安全性分析，将可能引起緩冲区溢出、脚本注入和跨站点脚本处 理、 分布式拒绝服务、 蛮力攻击、信息修改等危险行为的可执行程序确定 为恶意资源。
步骤 205: 提取恶意资源的信息。
提取恶意资源的访问路径、 访问程序名称等信息。
步骤 206: 监控恶意资源的访问请求。
根据提取的恶意资源的访问路径、 访问程序名称等信息， 监控恶意资 源的访问请求。 可以是访问某程序的请求， 或者是访问某访问路径的请求。
步骤 207： 确定发出访问请求的主机为僵尸主机。
也可以在发出访问请求的次数超过预设的阈值时， 才确定发出所述访 问请求的主机为僵尸主机， 避免误认。
本发明实施例通过主动获取网络中的数据报文， 并对数据报文中的可 执行程序进行安全性分析， 然后监控访问有危害的可执行程序的请求主机 地址， 即可确定发出所述请求的主机为僵尸主机， 从而在遭受到僵尸网络 的攻击前主动地确定僵尸主机的位置， 检测到僵尸网络的存在。
需要说明的是， 对于前述的各方法实施例， 为了简单描述， 故将 其都表述为一系列的动作组合， 但是本领域技术人员应该知悉， 本发 明并不受所描述的动作顺序的限制， 因为依据本发明， 某些步骤可以 采用其他顺序或者同时进行。 其次， 本领域技术人员也应该知悉， 说 明书中所描述的实施例均属于优选实施例， 所涉及的动作和模块并不 一定是本发明所必须的。
在上述实施例中， 对各个实施例的描述都各有侧重， 某个实施例中 没有详述的部分， 可以参见其他实施例的相关描述。
以上提供了一种检测僵尸网络的方法， 本发明实施例还提供一种检测 僵尸网络的装置。
一种检测僵尸网络的装置， 如图 5所示， 图 5 为本发明实施例装置的 结构示意图， 包括：
获取单元 11， 用于获取网络中的数据报文； 还可用于对获取的数据报 文进行过滤；
因网络访问经常使用的为 HTTP、 FTP、 TFTP本发明实施例可直接获 取网络中使用这几种协议进行传输的数据报文， 或者， 也可在获取网络中 的数据报文后过滤出使用这几种协议的数据报文， 其中， 可利用深度包检 测技术（DPI， Deep Packet Inspection ) 进行过滤。 显然， 上述几种协议是 使用较多的协议， 获取使用其他协议进行传输的数据报文也不影响本发明 实施例的实现。
分析单元 12,用于对获取单元 11获取的数据报文中的可执行程序进行 安全性分析， 将有危害的可执行程序确定为恶意资源； 具体用于存储获取 的数据报文， 再对存储的数据报文中的可执行程序进行安全性分析。
则分析单元 12可包括存储子单元 121、 安全分析子单元 122和确定子 单元 123:
存储子单元 121用于存储获取的数据报文，
具体的， 存储子单元 121还用于存储获取单元 11过滤后的数据报文。 安全分析子单元 122用于对存储子单元 121存储的数据报文中的可执 行程序进行安全性分析；
确定子单元 123用于将安全分析子单元 122分析得到的有危害的可执 行程序确定为恶意资源。
安全性分析可以参照杀毒软件的分析方法进行， 或者直接利用现有的 杀毒软件进行安全性分析， 杀毒软件报警则说明该可执行程序有危害。
有危害的可执行程序即为会产生危险行为的程序， 例如未经授权的访 问、 緩冲区溢出、 拒绝服务、 信息被修改等。
恶意资源为网络中被主机访问以及使用的数据、 程序、 代码等对象， 网络攻击者通常将僵尸工具隐藏在恶意资源中， 以蒙蔽用户， 使得僵尸工 具可以隐藏地、 不为访问用户所知的种植到访问恶意资源的主机中。
监控单元 13 , 用于监控所述分析单元 12分析得到的所述恶意资源是 否有访问请求； 具体用于确定恶意资源的访问路径后， 对所述访问路径进 行监控，判断是否有主机发出访问请求。例如某恶意资源的访问路径为 "服 务器 A/主目录 B/子目录 C"， 则监控访问该路径的访问请求。
具体的， 监控单元 13可包括路径确定子单元 131和判断子单元 132; 路径确定子单元 131用于确定所述恶意资源的访问路径；
判断子单元 132用于对路径确定子单元 131确定的访问路径进行监控， 判断是否有主机发出访问请求。
确定单元 14， 用于当有访问请求时， 确定监控单元 13监控的发出访 问请求的主机为僵尸主机； 还可用于在发出访问请求的次数超过预设的阈 值时， 确定发出访问请求的主机为僵尸主机。
本发明实施例装置可存在于网关设备上， 以更有效地保护网络安全。 本发明实施例装置通过获取单元 11主动获取网络中的数据报文，并由 分析单元 12 对数据报文中的可执行程序进行安全性分析， 然后监控单元 13监控访问有危害的可执行程序的请求的主机地址， 即可确定发出所述访 问请求的主机为僵尸主机， 从而在遭受到僵尸网络的攻击前主动地确定僵 尸主机的位置 , 检测到僵尸网络的存在。
本发明实施例设备的各个模块可以集成于一体，也可以分离部署。上 述模块可以合并为一个模块， 也可以进一步拆分成多个子模块。
本领域普通技术人员可以理解， 实现上述实施例方法中的全部或部分 流程， 是可以通过计算机程序来指令相关的硬件来完成， 程序可存储于一 计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法的实施 例的流程。 其中， 存储介质可为磁磔、 光盘、 只读存储记忆体（Read-Only Memory, ROM )或随机存储记忆体 ( andom Access Memory, RAM )等。
以上对本发明实施例所提供的一种能够实时检测僵尸网络的方法及其 装置进行了详细介绍， 本文中应用了具体个例对本发明的原理及实施方式 进行了阐述， 以上实施例的说明只是用于帮助理解本发明的方法及其核心 思想； 同时， 对于本领域的一般技术人员， 依据本发明的思想， 在具体实 施方式及应用范围上均会有改变之处， 综上所述， 本说明书内容不应理解 为对本发明的限制。

Claims

权 利 要 求
1、 一种检测僵尸网络的方法， 其特征在于， 包括：
获取网络中的数据报文；
对所述数据报文中的可执行程序进行安全性分析， 将有危害的可执行 程序确定为恶意资源；
监控所述恶意资源是否有访问请求；
当有访问请求时， 确定发出所述访问请求的主机为僵尸主机。
2、 根据权利要求 1所述的方法， 其特征在于， 所述监控所述恶意资源 是否有访问请求包括：
确定所述恶意资源的访问路径；
对所述访问路径进行监控， 判断是否有主机发出访问请求。
3、 根据权利要求 1所述的方法， 其特征在于， 还包括：
对获取的网络中的数据报文进行过滤， 对过滤后的所述数据报文中的可执 行程序进行安全性分析。
4、 根据权利要求 1所述的方法， 其特征在于， 所述对所述数据报文中 的可执行程序进行安全性分析， 将有危害的可执行程序确定为恶意资源包 括：
存储所述数据报文；
对存储的数据报文中的可执行程序进行安全性分析；
将有危害的可执行程序确定为恶意资源。
5、 根据权利要求 1至 4任一项所述的方法， 其特征在于， 还包括： 在发出所述访问请求的次数超过预设的阈值时， 确定发出所述访问请 求的主机为僵尸主机。
6、 一种检测僵尸网络的装置， 其特征在于， 包括：
获取单元， 用于获取网络中的数据报文；
分析单元， 用于对获取单元获取的数据报文中的可执行程序进行安全 性分析， 将有危害的可执行程序确定为恶意资源；
监控单元， 用于监控分析单元分析得到的所述恶意资源是否有访问请 求；
确定单元， 用于当有访问请求时， 确定发出访问请求的主机为僵尸主 机。。
7、 根据权利要求 6所述的装置， 其特征在于， 所述监控单元包括路径 确定子单元和判断子单元；
所述路径确定子单元用于确定所述恶意资源的访问路径；
所述判断子单元用于对路径确定子单元确定的所述访问路径进行监 控， 判断是否有主机发出访问请求。
8、 根据权利要求 6所述的装置， 其特征在于， 所述获取单元还用于对 获取的数据报文进行过滤。
9、 根据权利要求 6所述的装置， 其特征在于， 所述分析单元包括： 存 储子单元、 安全分析子单元和确定子单元；
所述存储子单元用于存储获取的数据报文；
所述安全分析子单元用于对存储子单元存储的数据报文中的可执行程 序进行安全性分析；
所述确定子单元用于将安全分析子单元分析得到的有危害的可执行程 序确定为恶意资源。
10、 根据权利要求 6至 9任一项所述的装置， 其特征在于， 所述确定 单元还用于在发出所述访问请求的次数超过预设的阈值时， 确定发出所述 访问请求的主机为僵尸主机。
PCT/CN2010/074611 2009-06-29 2010-06-28 一种检测僵尸网络的方法及其装置 WO2011000297A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910142292.1 2009-06-29
CN200910142292A CN101588276B (zh) 2009-06-29 2009-06-29 一种检测僵尸网络的方法及其装置

Publications (1)

Publication Number Publication Date
WO2011000297A1 true WO2011000297A1 (zh) 2011-01-06

Family

ID=41372350

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/074611 WO2011000297A1 (zh) 2009-06-29 2010-06-28 一种检测僵尸网络的方法及其装置

Country Status (2)

Country Link
CN (1) CN101588276B (zh)
WO (1) WO2011000297A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102045214B (zh) 2009-10-20 2013-06-26 成都市华为赛门铁克科技有限公司 僵尸网络检测方法、装置和系统
CN101741862B (zh) * 2010-01-22 2012-07-18 西安交通大学 基于数据包序列特征的irc僵尸网络检测系统和检测方法
CN101924754B (zh) * 2010-07-15 2013-07-31 国家计算机网络与信息安全管理中心 一种恶意代码控制端主动发现方法及装置
CN102571487B (zh) * 2011-12-20 2014-05-07 东南大学 基于多数据源分布式的僵尸网络规模测量及追踪方法
CN104796386B (zh) * 2014-01-21 2020-02-11 腾讯科技（深圳）有限公司 一种僵尸网络的检测方法、装置和系统
CN106973051B (zh) * 2017-03-27 2019-11-19 山石网科通信技术股份有限公司 建立检测网络威胁模型的方法、装置和存储介质
CN110602104B (zh) * 2019-09-17 2022-02-18 北京丁牛科技有限公司 一种防止公有云盘被僵尸网络恶意利用的方法及装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008306610A (ja) * 2007-06-11 2008-12-18 Hitachi Ltd 不正侵入・不正ソフトウェア調査システム、および通信振分装置
CN101404658A (zh) * 2008-10-31 2009-04-08 北京锐安科技有限公司 一种检测僵尸网络的方法及其系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008306610A (ja) * 2007-06-11 2008-12-18 Hitachi Ltd 不正侵入・不正ソフトウェア調査システム、および通信振分装置
CN101404658A (zh) * 2008-10-31 2009-04-08 北京锐安科技有限公司 一种检测僵尸网络的方法及其系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
JUN CAI ET AL: "Study on the Botnet Based on IRC and the Program For Detecting the Botnet", JOURNAL OF ZHONGYUAN INSTITUTE OF TECHNOLOGY, 28 February 2008 (2008-02-28), pages 49 *
LU WEIZHOU ET AL: "Research on Detecting Botnets", 31 December 2007 (2007-12-31), pages 79 *

Also Published As

Publication number Publication date
CN101588276B (zh) 2012-09-19
CN101588276A (zh) 2009-11-25

Similar Documents

Publication Publication Date Title
US11075885B2 (en) Methods and systems for API deception environment and API traffic control and security
JP6952849B2 (ja) セッションセキュリティ分割およびアプリケーションプロファイラ
US11503044B2 (en) Method computing device for detecting malicious domain names in network traffic
US10084816B2 (en) Protocol based detection of suspicious network traffic
Wurzinger et al. Automatically generating models for botnet detection
US9083677B1 (en) Human user verification of high-risk network access
US20160366159A1 (en) Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program
CN102035793B (zh) 僵尸网络检测方法、装置以及网络安全防护设备
WO2011000297A1 (zh) 一种检测僵尸网络的方法及其装置
EP2448211B1 (en) Method, system and equipment for detecting botnets
JP7388613B2 (ja) パケット処理方法及び装置、デバイス、並びに、コンピュータ可読ストレージ媒体
CN105681250A (zh) 一种僵尸网络分布式实时检测方法和系统
GB2502254A (en) Discovery of IP addresses of nodes in a botnet
CN101651579A (zh) 识别僵尸网络的方法及网关设备
US11223635B2 (en) Inception of suspicious network traffic for enhanced network security
US20170163671A1 (en) System and method for Using Simulators in network security and useful in IoT Security
CN109474485A (zh) 基于网络流量信息检测僵尸网络的方法、系统及存储介质
Borys et al. An evaluation of IoT DDoS cryptojacking malware and Mirai Botnet
Liu et al. A survey of botnet architecture and batnet detection techniques
KR101487476B1 (ko) 악성도메인을 검출하기 위한 방법 및 장치
Yen Detecting stealthy malware using behavioral features in network traffic
JP5986340B2 (ja) Ｕｒｌ選定方法、ｕｒｌ選定システム、ｕｒｌ選定装置及びｕｒｌ選定プログラム
KR20110029340A (ko) 분산 서비스 거부 공격의 방어 시스템
KR100976602B1 (ko) 파일 전송 보안 방법 및 장치
Antonucci et al. Botnets as the modern attack vector

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10793592

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC OF 300512

122 Ep: pct application non-entry in european phase

Ref document number: 10793592

Country of ref document: EP

Kind code of ref document: A1