僵尸网络检测方法、装置以及网络安全防护设备

摘要

本发明实施例提供了一种僵尸网络检测方法、装置以及网络安全防护设备，其中方法包括：根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息；对疑似僵尸主机的行为特性进行分析以识别僵尸主机和僵尸控制主机。通过本发明实施例提供的僵尸网络检测方案能够有效发现未知的僵尸网络。

主权项

一种僵尸网络检测方法，其特征在于，包括：根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息；所述第一数据包为所述主机完成TCP连接后发送的第一个数据包；对疑似僵尸主机的行为特性进行分析以识别僵尸主机和僵尸控制主机；其中，所述根据待检测网络中的主机发送的第一数据包中的关键字信息获得疑似僵尸主机信息和疑似僵尸控制主机信息包括：获取待检测网络中的主机发送的第一数据包中的关键字信息；对所述关键字信息和预先存储的关键字列表进行匹配处理；所述关键字列表中至少包括一种如下的关键字类型：操作系统平台、CPU类型、内存、MAC地址;当所述匹配结果超过预设的阈值时，识别所述主机为疑似僵尸主机，所述第一数据包的目标主机为疑似僵尸控制主机。