[發明專利]一種檢測僵尸網絡的方法及其裝置

有效

• 申請號: 200910142292.1
• 申請日: 2009-06-29
• 公開（公告）號: CN101588276A
• 公開（公告）日: 2009-11-25
• 發明（設計）人: 蔣武
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/56;H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙)
• 代理人: 彭愿潔;李文紅

技術領域

本發明涉及計算機網絡領域，尤其是涉及到一種檢測僵尸網絡的方法 及其裝置。

背景技術

僵尸網絡(Botnet)是網絡攻擊者將僵尸工具(Bot)植入到多個僵 尸主機(Zombie)，然后利用僵尸主機上的僵尸工具控制僵尸主機去攻擊 其他受害者主機的網絡；其中，僵尸工具是被預定義的命令所遠程控制， 并具有一定人工智能的程序，僵尸主機則為被植入僵尸工具的主機。

通過僵尸網絡，網絡攻擊者可利用僵尸主機隱蔽自己，并控制僵尸主 機攻擊其他主機達到非法目的，例如進行分布式拒絕服務攻擊(DDos， Distributed?Denial?of?Service)、發送垃圾郵件、竊取秘密、濫用資源等攻 擊行為，使得僵尸網絡成為目前互聯網安全最嚴重的威脅之一。

要制止網絡攻擊者利用僵尸網絡進行攻擊，就必須確定僵尸網絡的存 在；而僵尸主機是僵尸網絡的重要特征，找到僵尸主機的所在，則可進一 步對僵尸網絡采取響應和防御措施。

現有技術中，一般是通過在站點或主機遭受僵尸網絡攻擊，或者部署 虛假主機引誘攻擊者攻擊后，獲取僵尸工具的程序樣本，采用逆向工程等 惡意代碼分析手段，獲得隱藏在代碼中的僵尸網絡的登錄信息，使用定制 的僵尸程序登錄到僵尸網絡中去，再進一步采取應對措施。

在對現有技術的研究和實踐過程中，本發明的發明人發現存在以下問 題：

目前對僵尸網絡的檢測方法都是在遭受了僵尸網絡的攻擊后才被動 地進行檢測，較為滯后。

發明內容

本發明實施例提供一種能夠實時檢測僵尸網絡的方法及其裝置，能在 遭受到僵尸網絡的攻擊前主動地確定僵尸主機的位置，從而檢測到僵尸網 絡。

為解決上述技術問題，本發明所提供的實施例是通過以下技術方案實 現的：

一種檢測僵尸網絡的方法，包括：

獲取網絡中的數據報文；

對所述數據報文中的可執行程序進行安全性分析，將有危害的可執行 程序確定為惡意資源；

監控所述惡意資源是否有訪問請求；

當有訪問請求時，確定發出所述訪問請求的主機為僵尸主機。

一種檢測僵尸網絡的裝置，包括：

獲取單元，用于獲取網絡中的數據報文；

分析單元，用于對獲取單元獲取的數據報文中的可執行程序進行安全 性分析，將有危害的可執行程序確定為惡意資源；

監控單元，用于監控分析單元分析得到的所述惡意資源是否有訪問請 求；

確定單元，用于當有訪問請求時，確定發出監控單元監控的所述訪問 請求的主機為僵尸主機。

由上述技術方案可以看出，本發明實施例通過主動獲取網絡中的數據 報文，并對數據報文中的可執行程序進行安全性分析，然后監控訪問有危 害的可執行程序的請求主機地址，即可確定發出所述請求的主機為僵尸主 機，從而在遭受到僵尸網絡的攻擊前主動地確定僵尸主機的位置，檢測到 僵尸網絡的存在。

附圖說明

為了更清楚地說明本發明實施例中的技術方案，下面將對實施例描述 中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅 是本發明的一些實施例，對于本領域普通技術人員來講，在不付出創造性 勞動的前提下，還可以根據這些附圖獲得其他的附圖。

圖1是僵尸網絡多級控制架構的結構示意圖；

圖2是僵尸網絡對等協議架構的結構示意圖；

圖3是本發明實施例一的方法流程示意圖；

圖4是本發明實施例二的方法流程示意圖；

圖5是本發明實施例裝置的結構示意圖。

具體實施方式

下面將結合本發明實施例中的附圖，對本發明實施例中的技術方案進 行清楚、完整地描述，顯然，所描述的實施例僅僅是本發明一部分實施例， 而不是全部的實施例。基于本發明中的實施例，本領域普通技術人員在沒 有作出創造性勞動前提下所獲得的所有其他實施例，都屬于本發明保護的 范圍。

僵尸網絡的架構一般有：