一种僵尸网络的检测方法、装置和系统

摘要

本发明适用于计算机网络安全领域，提供了一种僵尸网络的检测方法、装置和系统，该方法包括：获取在网络节点捕获的攻击行为数据；解析所述攻击行为数据，获取所述攻击行为数据中包括的有效负载payload数据；查找所述有效负载payload数据中包括的恶意程序下载的源地址和发送下载请求的来源IP；根据所述源地址和所述来源IP确定所述僵尸网络中的计算机。和现有技术的通过名称匹配的方式相比，本发明所述僵尸网络的检测方法能够有效的避免误报漏报现象，有效的提高检测的准确率。

主权项

一种僵尸网络的检测方法，其特征在于，所述方法包括：获取在网络节点捕获的攻击行为数据；解析所述攻击行为数据，获取所述攻击行为数据中包括的有效负载payload数据，所述有效负载payload数据为攻击行为数据中实现恶意动作的代码部分；查找所述有效负载payload数据中包括的恶意程序下载的源地址和发送下载请求的来源IP；根据所述源地址和所述来源IP确定所述僵尸网络中的计算机。