一种检测僵尸网络的方法及其系统

摘要

本发明公开了一种检测僵尸网络的方法及其系统，属于计算机安全领域。本发明的方法为：首先从网络数据包中提取出IRC协议数据；然后将协议数据与数据特征库中的特征码进行匹配，获取僵尸网络数据包；对僵尸网络数据包进行划分，将来自同一僵尸网络的僵尸网络数据包关联起来；最后根据划分后的僵尸网络数据包确定出同一僵尸网络中的控制服务器、僵尸计算机、僵尸网络控制计算机，从而描绘出该僵尸网络的拓扑结构。本发明的系统包括：网络数据解析模块、僵尸网络数据识别模块、僵尸网络数据深度挖掘模块。与现有技术相比，本发明可以对整个僵尸网络进行整体的分析和防御，防御效果更好、防御范围更广、效率更高、溯源性更好。

主权项

1.一种检测僵尸网络的方法，其步骤为：1)从网络数据包中提取出IRC协议数据；2)将协议数据与数据特征库中的特征码进行匹配，获取僵尸网络数据包；3)对僵尸网络数据包进行划分，将来自同一僵尸网络的僵尸网络数据包相互关联起来；4)根据划分后的僵尸网络数据包确定出同一僵尸网络中的控制服务器、僵尸计算机、僵尸网络控制计算机，得到该僵尸网络的拓扑结构。