一种僵尸网络检测方法、装置及处理器

摘要

本申请公开一种僵尸网络的检测方法、装置及处理器，该方法中根据获取到的网络内各个数据流的通信行为特征值，将各个节点划分为多个通信聚类组，其中每个通信聚类组内的节点具有类似的通信行为；并且，根据各个节点产生的攻击行为，对各节点实现攻击聚类，其中每个攻击聚类组内的节点产生的攻击行为类似；然后通过交叉聚类算法，对通信聚类结果和攻击聚类结果进行综合分析，以便根据二者之间的联系，最终获取属于同一僵尸网络的僵尸节点，实现对僵尸网络的检测。该方法基于僵尸网络的基本特性，而僵尸网络的这一基本特性是不变的，该方法独立于僵尸网络的种类，具有很强的通用性，解决了现有技术中，只能对一种或一类僵尸网络进行检测的问题。

主权项

一种僵尸网络检测方法，其特征在于，包括：计算网络内各个数据流的通信行为特征值，所述通信行为特征值包括：平均每包字节数和平均每秒字节数；根据所述通信行为特征值进行聚类，将所述各个数据流对应的节点划分为多个通信聚类组，其中每个通信聚类组内的节点具有类似的通信行为，且所述每个通信聚类组中包含的节点数量满足预设的第一阈值；并且，根据各个节点的攻击行为进行聚类，将所述各个节点划分为多个攻击聚类组，其中每个攻击聚类组内的节点产生的攻击行为类似；确定产生攻击行为的所述节点为可疑节点，分别计算各个可疑节点所属的通信聚类组和攻击聚类组的交叉度，并获取所述交叉度满足门限值的可疑节点；获取由所述各个交叉度满足门限值的可疑节点构建的各个通信聚类组和攻击聚类组，并获取各个所述通信聚类组和攻击聚类组中相同的可疑节点，并在所述相同的可疑节点的数量满足预设的第二阈值时，确定所述可疑节点为僵尸节点，所述僵尸节点组成的网络为僵尸网络。