僵尸网络的检测方法、装置、设备及介质制造方法及图纸

本发明专利技术实施例公开了一种僵尸网络的检测方法、装置、设备及介质。该方法包括：根据DNS流量数据获取与各源IP地址对应的域名响应信息；根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，及与各备选受控IP地址分别匹配的第一异常主域名；根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名间的相似度，在各成功访问主域名中提取第二异常主域名并获取与之对应的主控IP地址；在各备选受控IP地址中获取成功访问每个主控IP地址的受控IP地址，并将其和与主控IP地址对应的受控IP地址确定为僵尸网络。在上述技术方案中，通过域名分析确定僵尸网络，降低了检测成本，提高了检测效率和准确度。

【技术实现步骤摘要】
僵尸网络的检测方法、装置、设备及介质
本专利技术实施例涉及网络安全
，尤其涉及一种僵尸网络的检测方法、装置、设备及介质。
技术介绍
随着互联网全球化的发展，接入互联网的主机越来越多，网络中的僵尸网络、恶意软件等问题也对网络安全造成了巨大的威胁。其中，僵尸网络(Botnet)，指的是采用一种或多种传播手段，将大量主机感染僵尸程序(bot程序)病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。目前，关于僵尸网络的检测，主要是通过蜜罐或威胁情报获取僵尸网络的恶意程序样本，采用沙箱技术和反汇编等方式进行样本分析，提取相应的检测特征，并将僵尸网络的检测特征部署于NTA(NetworkTerminalAppliance，网络终端设备)、IDS(IntrusionDetectionSystems、入侵检测系统)、IPS(IntrusionPreventionSystem，入侵防御系统)或者防火墙等网络安全防护检测设备上。但由于蜜网和蜜罐的部署复杂，高质量的威胁情报价格较高，导致只有少数大型机构才能采用这种方式对僵尸网络进行检测，同时，海量的样本又需要大量的专业安全分析人员进行分析，延长了检测时间。因此，如何降低僵尸网络的检测成本，提高检测效率和准确度是亟待解决的问题。
技术实现思路
本专利技术实施例提供一种僵尸网络的检测方法、装置、设备及介质，以降低僵尸网络的检测成本，提高检测效率和准确度。第一方面，本专利技术实施例提供了一种僵尸网络的检测方法，包括：根据DNS(DomainNameSystem，域名系统)流量数据，获取与各源IP(InternetProtocol，网际协议)地址对应的域名响应信息；根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名；根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。第二方面，本专利技术实施例还提供了一种僵尸网络的检测装置，包括：域名响应信息获取模块，用于根据DNS流量数据，获取与各源IP地址对应的域名响应信息；备选受控IP地址及第一异常主域名获取模块，用于根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名；主控IP地址获取模块，用于根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；僵尸网络确定模块，用于在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。第三方面，本专利技术实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如本专利技术任意实施例所述的僵尸网络的检测方法。第四方面，本专利技术实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本专利技术任意实施例所述的僵尸网络的检测方法。本专利技术实施例提供的技术方案中，根据DNS流量数据，获取与各源IP地址对应的域名响应信息，根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名，然后根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名并获取与之对应的主控IP地址，在各备选受控IP地址中获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址确定为僵尸网络，通过对DNS流量数据中与各源IP地址对应的域名进行分析，确定主控IP地址和受控IP地址，进而确定僵尸网络，降低了僵尸网络的检测成本，提高了检测效率和准确度。附图说明图1是本专利技术实施例一中的一种僵尸网络的检测方法的流程示意图；图2是本专利技术实施例二中的一种僵尸网络的检测方法的流程示意图；图3是本专利技术实施例三中的一种僵尸网络的检测装置的结构示意图；图4是本专利技术实施例四中的一种计算机设备的硬件结构示意图。具体实施方式下面结合附图和实施例对本专利技术作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本专利技术，而非对本专利技术的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本专利技术相关的部分而非全部结构。在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。为了便于理解，将本专利技术实施例的主要专利技术构思进行简述。在僵尸网络中，攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机(即受控主机)将通过一个控制信道接收攻击者的指令。僵尸网络大多数使用了DomainFlux技术或FastFlux技术，其中，DomainFlux技术是动态改变和分配多个域名到一个或多个IP地址，FastFlux技术是将域名映射到一个IP地址池，频繁地更换域名和IP地址之间的映射关系。这两种技术都依赖于DNS，实现域名与IP地址的动态变化，极大程度地提高了僵尸网络的健壮性，同时也进一步增大了僵尸网络的检测防护难度。由于传统僵尸网络中C&C(CommandandControl，命令与控制)服务器的域名或IP地址为硬编码，具有固定且数量有限的特点，因此网络安全防御人员可以通过逆向掌握该部分内容后，对其进行有效的屏蔽，阻断其命令控制途径，使其失去控制源并逐渐消亡，从而导致整个僵尸网络陷入瘫痪，这种方式称为“中心节点失效”。为了避免上述情况的发生，攻击者将DomainFlux技术应用到僵尸网络中。在DomainFlux中，受控主机可以利用DGA(DomainGenerationAlgorithm，域名生成算法)动态生成多个可变化的域名，通过不断变换域名和域名解析的IP地址的方式，使攻击者与受控主机的通信节点也是动态变化的，能够有效逃避网络安全防御人员的监控和封堵，因此导致网络安全防御的难度进一步加大。在DomainFlux中，DGA是一种利用随机字符(即种子，如日期、社交网络搜索热词、随机数或字典等)来生成域名，由受控主机逐个发起DNS请求尝试进行通信连本文档来自技高网...

【技术保护点】
1.一种僵尸网络的检测方法，其特征在于，包括：/n根据域名系统DNS流量数据，获取与各源网际协议IP地址对应的域名响应信息；/n根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名；/n根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；/n在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。/n

【技术特征摘要】
1.一种僵尸网络的检测方法，其特征在于，包括：
根据域名系统DNS流量数据，获取与各源网际协议IP地址对应的域名响应信息；
根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名；
根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；
在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。


2.根据权利要求1所述的方法，其特征在于，根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名，包括：
针对每个源IP地址，分别获取域名响应信息中域名响应结果为域名不存在的拒绝访问域名，并获取各所述拒绝访问域名的主域名作为拒绝访问主域名；
针对每个拒绝访问主域名进行异常域名检测，识别所述拒绝访问主域名中包括的第一异常主域名，并获取与每个源IP地址分别对应的第一异常主域名；
统计与每个源IP地址分别对应的第一异常主域名的数量值，并将数量值超过预设数量值门限的源IP地址确定为备选受控IP地址。


3.根据权利要求2所述的方法，其特征在于，针对每个拒绝访问主域名进行异常域名检测，识别所述拒绝访问主域名中包括的第一异常主域名，并获取与每个源IP地址分别对应的第一异常主域名，包括：
将各所述拒绝访问主域名分别输入至异常域名检测模型中，并根据所述异常域名检测模型的输出结果，识别所述拒绝访问主域名中包括的第一异常主域名；
其中，所述异常域名检测模型用于识别通过域名生成算法生成的异常域名。


4.根据权利要求1所述的方法，其特征在于，根据各备选受控IP地址的成功访问主域名与的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，包括：
获取全部与各备选受控IP地址匹配的成功访问主域名以及第一异常主域名；
获取与所述第一异常主域名对应的比对主域名特征；
分别计算各所述成功访问主域名与所述比对主域名特征之间的相似度，并根据相似度计算结果，在所述成功访问主域名中筛选得到第二异常主域名。


5.根据权利要求1所述的方法，其特征在于，根据DNS流量数据，获取与各源IP地址对应的域名响应信息，包括：
获取设定时间区间内的DNS流量数据；
将所述时间区间划分为多个时间单元，并在每个时间单元内获取与各源IP地址对应的域名响应信息；
根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以...

【专利技术属性】
技术研发人员：刘纪伟，张玉，陈洪伟，赖秋楠，梁彧，
申请(专利权)人：国家计算机网络与信息安全管理中心河北分中心，恒安嘉新北京科技股份公司，
类型：发明
国别省市：河北;13