发明名称 |
一种僵尸主机的检测方法及装置 |
摘要 |
本发明实施例提供了一种僵尸主机的检测方法及装置,该方法包括:获取设定时间内网络中各待检测主机的邮件流量信息;根据获取到的邮件流量信息,选择符合预设条件的IP地址,并计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值;依次判断计算出的每个IP地址的可能性度量值是否大于第四阈值,在是的情况下,将该IP地址所对应的待检测主机,确定为僵尸主机。本发明实施例可以周期性获取待检测主机的邮件流量信息,这种检测方式比较及时;并且根据这些邮件流量信息、按照预设的条件处理之后,可以获得僵尸主机可能性稍高的IP地址,再经过一定的算法处理得出网络中的僵尸主机,提高检测的效率和准确率。 |
申请公布号 |
CN103139206A |
申请公布日期 |
2013.06.05 |
申请号 |
CN201310037815.2 |
申请日期 |
2013.01.31 |
申请人 |
北京神州绿盟信息安全科技股份有限公司;北京神州绿盟科技有限公司 |
发明人 |
周俊峰 |
分类号 |
H04L29/06(2006.01)I |
主分类号 |
H04L29/06(2006.01)I |
代理机构 |
北京同达信恒知识产权代理有限公司 11291 |
代理人 |
郭红丽 |
主权项 |
一种僵尸主机的检测方法,其特征在于,包括:获取设定时间内网络中各待检测主机的邮件流量信息,所述邮件流量信息包括各待检测主机的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址与服务器的交互信息;根据获取到的邮件流量信息,选择符合预设条件的IP地址,并计算选择出的IP地址中每个IP地址所对应的待检测主机的可能性度量值;所述预设条件通过下述方式实现:计算在所述设定时间内每个待检测主机的IP地址的入流量与出流量的平均速率、该IP地址与服务器交互的平均个数和该IP地址与服务器交互的平均次数;判断该IP地址的入流量与出流量的平均速率的比值是否小于第一阈值、该IP地址与服务器交互的平均个数是否大于第二阈值和该IP地址与服务器交互的平均次数是否大于第三阈值;若判断出均为是时,选出该IP地址;所述可能性度量值表征待检测主机是僵尸主机的目标阈值;依次判断计算出的每个IP地址的可能性度量值是否大于第四阈值,若是,则将该IP地址所对应的待检测主机确定为僵尸主机。 |
地址 |
100089 北京市海淀区北洼路4号益泰大厦三层 |