[發(fā)明專利]一種面向BT下載網(wǎng)絡(luò)的蠕蟲檢測方法

無效

• 申請?zhí)枺?/td>: 201110135299.8
• 申請日: 2011-05-24
• 公開（公告）號: CN102185869A
• 公開（公告）日: 2011-09-14
• 發(fā)明（設(shè)計(jì)）人: 林懷忠;陳萍;張知臨;蔣雨倩
• 申請（專利權(quán)）人: 浙江大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;H04L29/08
• 代理公司: 杭州求是專利事務(wù)所有限公司 33200
• 代理人: 張法高

1.一種面向BT下載網(wǎng)絡(luò)的蠕蟲檢測方法，其特征在于它的步驟如下：

1)在所有BT客戶端節(jié)點(diǎn)安裝監(jiān)控裝置，監(jiān)控裝置讀取所在BT客戶端節(jié)點(diǎn)的鄰節(jié)點(diǎn)緩存信息，尋找相鄰的BT客戶端節(jié)點(diǎn)并與該BT客戶端節(jié)點(diǎn)中的監(jiān)控裝置建立連接，監(jiān)控裝置與所有相鄰監(jiān)控裝置建立連接，每個(gè)監(jiān)控裝置對所在BT客戶端節(jié)點(diǎn)與相鄰BT客戶端節(jié)點(diǎn)所交換的流量數(shù)進(jìn)行初始采樣，設(shè)置時(shí)間段m,并將m平均為p段，監(jiān)控裝置監(jiān)控每m/p時(shí)間內(nèi)BT客戶端節(jié)點(diǎn)與所有相鄰BT客戶端節(jié)點(diǎn)所交換的網(wǎng)絡(luò)流量數(shù)，并將該流量數(shù)記錄在該監(jiān)控裝置的流量監(jiān)控表中，并擬合其分布，每個(gè)監(jiān)控裝置根據(jù)相鄰BT客戶端節(jié)點(diǎn)的數(shù)量建立警告消息集，設(shè)置正常閾值α；

2)監(jiān)控裝置監(jiān)控所在BT客戶端節(jié)點(diǎn)，等待來自相鄰監(jiān)測裝置的警告消息，若監(jiān)控裝置的警告消息集中存在警告消息則根據(jù)時(shí)間推移減少警告消息中計(jì)時(shí)器的值，并在計(jì)時(shí)器歸零時(shí)丟棄該警告消息，若該BT客戶端節(jié)點(diǎn)與相鄰BT客戶端節(jié)點(diǎn)發(fā)生持續(xù)通信，則進(jìn)入步驟3)，若收到來自某個(gè)相鄰監(jiān)測裝置的警告消息，則進(jìn)入步驟4)；

3)若監(jiān)控裝置中沒有警告消息，則生成一個(gè)警告消息，初始化計(jì)數(shù)器的值為1，計(jì)時(shí)器的值為t，若已存在警告消息，將警告消息的計(jì)數(shù)器增加1，計(jì)時(shí)器的值重置為t，然后將生成或修改后的警告消息發(fā)送給正在通信的BT客戶端節(jié)點(diǎn)上的監(jiān)控裝置，進(jìn)入步驟2)；

4)查看收到的警告消息中的計(jì)數(shù)器，發(fā)送到?jīng)Q策中心裝置，若計(jì)數(shù)器低于正常閾值α，將該警告消息存儲于監(jiān)控裝置的警告消息集中，若警告消息集中已存在同一來源的警告消息，則只保存擁有較大計(jì)數(shù)器的警告消息，進(jìn)入步驟2)，若計(jì)數(shù)器超過正常閾值α，則該監(jiān)控裝置對所在BT客戶端節(jié)點(diǎn)與相鄰BT客戶端節(jié)點(diǎn)所交換的流量數(shù)進(jìn)行重新采樣，并將得到的流量數(shù)發(fā)送到?jīng)Q策中心裝置，決策中心裝置對初始采樣得到的流量統(tǒng)計(jì)數(shù)和重新采樣得到的流量統(tǒng)計(jì)數(shù)進(jìn)行比較，若兩次統(tǒng)計(jì)得到的流量不屬于同一分布，則認(rèn)為BT網(wǎng)絡(luò)中出現(xiàn)蠕蟲活動，發(fā)出蠕蟲報(bào)警。