监测僵尸网络攻击行为的方法、装置、设备和存储介质制造方法及图纸

本公开实施例公开了一种监测僵尸网络攻击行为的方法、装置、电子设备和存储介质，方法包括：根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址；控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令；实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息，能通过设定终端实时接收和解析僵尸网络的远控服务器发送的控制指令，能够对僵尸网络进行长期监测。

Methods, devices, devices and storage media for monitoring botnet attacks

【技术实现步骤摘要】
监测僵尸网络攻击行为的方法、装置、设备和存储介质
本公开实施例涉及网络安全
，具体涉及一种监测僵尸网络攻击行为的方法、装置、电子设备和存储介质。
技术介绍
僵尸网络是指攻击者利用一对多的控制信道，通过控制大量的主机形成的恶意网络。通过僵尸网络可以进行不同形式的网络攻击行为：(1)发起分布式拒绝服务攻击(DDos，distributeddenialofservice),利用僵尸网络发起的DDoS攻击难以追踪溯源且危害性巨大；(2)发送垃圾邮件，例如Rustock僵尸网络，平均每天可以发送300亿垃圾邮件；(3)窃取敏感信息、占用网络流量资源、耗费系统性能；(4)形成恶意软件发布平台，黑客利用僵尸网络不断地进行不同攻击手段的尝试，形成新的攻击手段，对网络中的主机造成很大程度的危害。目前针对于僵尸网络的检测，主要侧重于根据流量发现网络异常行为，根据特征进行攻击行为检测，而没有形成一个僵尸网络的长期监测能力。
技术实现思路
有鉴于此，本公开实施例提供一种监测僵尸网络攻击行为的方法、装置、电子设备和存储介质，实时接收和解析僵尸网络的远控服务器发送的控制指令，以对僵尸网络进行长期监测。本公开实施例的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开实施例的实践而习得。第一方面，本公开实施例提供了一种监测僵尸网络攻击行为的方法，包括：根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址，其中所述控制指令信息至少包括控制指令的编码方式信息、以及用于与所述远控服务器建立连接的连接请求指令；控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令，以使所述设定终端加入所述僵尸网络以模拟所述僵尸网络的受控肉鸡；通过所述设定终端的所述通信端口实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息。于一实施例中，根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址包括：获取通过蜜罐节点捕获的恶意样本；对所述恶意样本进行逆向分析，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址。于一实施例中，根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息包括：根据逆向分析结果确定所述恶意样本所属的样本家族，从预存信息中获取所述样本家族的通信协议，根据所述样本家族的通信协议获取所述恶意样本所属的僵尸网络的控制指令信息。于一实施例中，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址包括：根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息和攻击方的互联网协议地址IP；根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息，根据所述情报信息确定所述僵尸网络通信端口和所述僵尸网络的远控服务器的地址。于一实施例中，根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息包括：根据所述控制指令信息和所述攻击方的IP，控制第二设定终端与所述攻击方进行通信，根据通信接收到的数据包获取所述僵尸网络的情报信息。于一实施例中，在获取通过蜜罐节点捕获的恶意样本之后，以及对所述恶意样本进行逆向分析之前还包括：将所述恶意样本在沙箱环境中运行，根据运行结果过滤已经分析的恶意样本以确定待分析的恶意样本，对所述待分析的恶意样本进行逆向分析。于一实施例中，若所述意图信息为所述远控服务器更换域名绑定IP的通知，则控制所述设定终端根据所述通知加入所述僵尸网络的新网络。于一实施例中，在根据解析结果确定所述僵尸网络的攻击意图信息之后还包括，根据所述攻击意图信息进行预警。于一实施例中，所述意图信息包括攻击目标、攻击方式信息、和攻击时间。第二方面，本公开实施例还提供了一种监测僵尸网络攻击行为的装置，包括：信息获取单元，用于根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址，其中所述控制指令信息至少包括控制指令的编码方式信息、以及用于与所述远控服务器建立连接的连接请求指令；模拟控制单元，用于控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令，以使所述设定终端加入所述僵尸网络以模拟所述僵尸网络的受控肉鸡；指令接收与分析单元，用于通过所述设定终端的所述通信端口实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息。于一实施例中，所述信息获取单元包括：恶意样本获取子单元，用于获取通过蜜罐节点捕获的恶意样本；逆向分析子单元，用于对所述恶意样本进行逆向分析，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址。于一实施例中，所述逆向分析子单元用于：根据逆向分析结果确定所述恶意样本所属的样本家族，从预存信息中获取所述样本家族的通信协议，根据所述样本家族的通信协议获取所述恶意样本所属的僵尸网络的控制指令信息。于一实施例中，所述逆向分析子单元用于：根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息和攻击方的互联网协议地址IP；根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息，根据所述情报信息确定所述僵尸网络通信端口和所述僵尸网络的远控服务器的地址。于一实施例中，所述逆向分析子单元根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息包括：根据所述控制指令信息和所述攻击方的IP，控制第二设定终端与所述攻击方进行通信，根据通信接收到的数据包获取所述僵尸网络的情报信息。于一实施例中，所述装置还包括待分析的恶意样本确定子单元，用于在获取通过蜜罐节点捕获的恶意样本之后，以及对所述恶意样本进行逆向分析之前：将所述恶意样本在沙箱环境中运行，根据运行结果过滤已经分析的恶意样本以确定待分析的恶意样本，对所述待分析的恶意样本进行逆向分析。于一实施例中，所述指令接收与分析单元用于，若所述意图信息为所述远控服务器更换域名绑定IP的通知，则控制所述设定终端根据所述通知加入所述僵尸网络的新网络。于一实施例中，所述装置还包括预警单元，用于在根据解析结果确定所述僵尸网络的攻击意图信息之后，根据所述攻击意图信息进行预警。于一实施例中，所述意图信息包括攻击目标、攻击方式信息、和攻击时间。第三方面，本公开实施例还提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序；当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如第一方面中任一项所述方法的指令。第四方面，本公开实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如第一方面中任一项所述方法的步骤。本公开实施例提出的技术方案根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址，控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器本文档来自技高网...

【技术保护点】
1.一种监测僵尸网络攻击行为的方法，其特征在于，包括：根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址，其中所述控制指令信息至少包括控制指令的编码方式信息、以及用于与所述远控服务器建立连接的连接请求指令；控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令，以使所述设定终端加入所述僵尸网络以模拟所述僵尸网络的受控肉鸡；通过所述设定终端的所述通信端口实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息。

【技术特征摘要】
1.一种监测僵尸网络攻击行为的方法，其特征在于，包括：根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址，其中所述控制指令信息至少包括控制指令的编码方式信息、以及用于与所述远控服务器建立连接的连接请求指令；控制设定终端的所述通信端口打开，并控制所述设定终端向所述远控服务器的地址发送所述连接请求指令，以使所述设定终端加入所述僵尸网络以模拟所述僵尸网络的受控肉鸡；通过所述设定终端的所述通信端口实时接收所述远控服务器发送的控制指令，根据所述编码方式信息对所述控制指令进行解析，根据解析结果确定所述僵尸网络的攻击意图信息。2.根据权利要求1所述的方法，其特征在于，根据恶意样本获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址包括：获取通过蜜罐节点捕获的恶意样本；对所述恶意样本进行逆向分析，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址。3.根据权利要求2所述的方法，其特征在于，根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息包括：根据逆向分析结果确定所述恶意样本所属的样本家族，从预存信息中获取所述样本家族的通信协议，根据所述样本家族的通信协议获取所述恶意样本所属的僵尸网络的控制指令信息。4.根据权利要求2或3所述的方法，其特征在于，根据逆向分析结果获取所述恶意样本所属的僵尸网络的通信端口、控制指令信息、以及远控服务器的地址包括：根据逆向分析结果获取所述恶意样本所属的僵尸网络的控制指令信息和攻击方的互联网协议地址IP；根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息，根据所述情报信息确定所述僵尸网络通信端口和所述僵尸网络的远控服务器的地址。5.根据权利要求4所述的方法，其特征在于，根据所述控制指令信息和所述攻击方的IP与所述攻击方进行通信，获取所述僵尸网络的情报信息包括：根据所述控制指令信息和所述攻击...

【专利技术属性】
技术研发人员：刘新鹏，胡付博，陈宇曦，宋囿谕，周忠义，傅强，金红，杨满智，刘长永，陈晓光，
申请(专利权)人：恒安嘉新北京科技股份公司，
类型：发明
国别省市：北京,11