[發明專利]一種僵尸主機的檢測方法及裝置

有效

• 申請號: 201310037815.2
• 申請日: 2013-01-31
• 公開（公告）號: CN103139206A
• 公開（公告）日: 2013-06-05
• 發明（設計）人: 周俊峰
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 郭紅麗

1.一種僵尸主機的檢測方法，其特征在于，包括：

獲取設定時間內網絡中各待檢測主機的郵件流量信息，所述郵件流量信息包括各待檢測主機的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址與服務器的交互信息；

根據獲取到的郵件流量信息，選擇符合預設條件的IP地址，并計算選擇出的IP地址中每個IP地址所對應的待檢測主機的可能性度量值；所述預設條件通過下述方式實現：計算在所述設定時間內每個待檢測主機的IP地址的入流量與出流量的平均速率、該IP地址與服務器交互的平均個數和該IP地址與服務器交互的平均次數；判斷該IP地址的入流量與出流量的平均速率的比值是否小于第一閾值、該IP地址與服務器交互的平均個數是否大于第二閾值和該IP地址與服務器交互的平均次數是否大于第三閾值；若判斷出均為是時，選出該IP地址；所述可能性度量值表征待檢測主機是僵尸主機的目標閾值；

依次判斷計算出的每個IP地址的可能性度量值是否大于第四閾值，若是，則將該IP地址所對應的待檢測主機確定為僵尸主機。

2.如權利要求1所述的方法，其特征在于，通過下述方式獲取到各待檢測主機的郵件流量信息：

獲取所述設定時間內所述網絡中所有主機的流量信息；

從所述流量信息中，選擇郵件收發端口所對應的主機的流量信息，并將其作為各待檢測主機的郵件流量信息。

3.如權利要求1或2所述的方法，其特征在于，通過下述方式計算選擇出的IP地址中每個IP地址所對應的待檢測主機的可能性度量值：

針對選擇出的IP地址中的每個IP地址，使用下述公式計算該IP地址對應的待檢測主機的可能性度量值M：

M=(a/5+b/5+c/5+d/5+e/5)×5，

其中，

4.一種僵尸主機的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取設定時間內網絡中各待檢測主機的郵件流量信息，所述郵件流量信息包括各待檢測主機的IP地址、IP地址的入流量信息、IP地址的出流量信息、IP地址與服務器的交互信息；

選擇計算模塊，用于根據獲取到的郵件流量信息，選擇符合預設條件的IP地址，并計算選擇出的IP地址中每個IP地址所對應的待檢測主機的可能性度量值，所述選擇計算模塊，具體用于計算在所述設定時間內每個待檢測主機的IP地址的入流量與出流量的平均速率、該IP地址與服務器交互的平均個數和該IP地址與服務器交互的平均次數；判斷該IP地址的入流量與出流量的平均速率的比值是否小于第一閾值、該IP地址與服務器交互的平均個數是否大于第二閾值和該IP地址與服務器交互的平均次數是否大于第三閾值；若判斷出均為是時，選出該IP地址；所述可能性度量值表征待檢測主機是僵尸主機的目標閾值；

判斷模塊，用于依次判斷計算出的每個IP地址的可能性度量值是否大于第四閾值；

確定模塊，用于在判斷模塊判斷為是時，則將該IP地址所對應的待檢測主機確定為僵尸主機。

5.如權利要求4所述的裝置，其特征在于，所述獲取模塊，具體用于獲取所述設定時間內所述網絡中所有主機的流量信息；從所述流量信息中，選擇郵件收發端口所對應的主機的流量信息，并將其作為各待檢測主機的郵件流量信息。

6.如權利要求4所述的裝置，其特征在于，所述選擇計算模塊，具體用于針對選擇出的IP地址中的每個IP地址，使用下述公式計算該IP地址對應的待檢測主機的可能性度量值M：M=(a/5+b/5+c/5+d/5+e/5)×5，其中，