[發明專利]一種識別DDoS僵尸網絡通信協議的方法及裝置

有效

• 申請號: 201410196838.2
• 申請日: 2014-05-09
• 公開（公告）號: CN103997489B
• 公開（公告）日: 2017-02-22
• 發明（設計）人: 周大;劉亞
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 北京同達信恒知識產權代理有限公司11291
• 代理人: 黃志華

1.一種識別DDoS僵尸網絡通信協議的方法，其特征在于，該方法包括：

獲取主機中運行的僵尸程序bot與服務器之間通信的命令報文和通信報文；

從獲取的通信報文中確定每次攻擊的攻擊屬性信息；

根據所述每次攻擊中每類攻擊的攻擊屬性信息，從獲取的命令報文中確定攻擊命令報文；

根據所述攻擊命令報文和/或所述攻擊屬性信息，確定攻擊指令報文特征信息。

2.如權利要求1所述的方法，其特征在于，所述獲取主機中運行的僵尸程序bot與服務器之間通信的命令報文和通信報文，包括：

如果未發生C&C通信，且已確定C&C服務器，將所述bot與C&C服務器之間傳輸的報文作為命令報文，將所述bot與非C&C服務器之間傳輸的報文作為通信報文；

如果未發生C&C通信，且未確定C&C服務器，將所述bot與當前通信的服務器作為C&C服務器，并將所述bot與所述C&C服務器之間傳輸的報文作為命令報文，將所述bot與非C&C服務器之間傳輸的報文作為通信報文；

如果已經發生C&C通信，則將當前所述bot與服務器之間傳輸的報文中目的網際協議IP地址和目的端口和C&C通信報文中目的網際協議IP地址和目的端口相同的報文作為命令報文，將當前所述bot與服務器之間傳輸的報文中目的網際協議IP地址和目的端口和C&C通信報文中目的網際協議IP地址和目的端口不相同的報文作為通信報文。

3.如權利要求1所述的方法，其特征在于，所述根據所述每次攻擊中每類攻擊的攻擊屬性信息，從獲取的命令報文中確定攻擊命令報文，包括：

根據每次攻擊中每類攻擊的攻擊屬性信息將攻擊行為開始之前最后一次收到的所述命令報文確定為攻擊開始指令；

根據每次攻擊中每類攻擊的攻擊屬性信息將攻擊行為停止之前最后一次收到的所述命令報文確定為攻擊停止指令；

將所述攻擊開始指令和所述攻擊停止指令作為攻擊命令報文。

4.如權利要求3所述的方法，其特征在于，所述攻擊指令報文特征信息包括下列信息中的部分或全部：

報文類型字段的偏移和編碼；

攻擊類型字段的偏移和編碼；

攻擊目標與端口字段的偏移和編碼；

特定攻擊類型參數的偏移和編碼。

5.如權利要求4所述的方法，其特征在于，所述根據所述攻擊命令報文和/或所述攻擊屬性信息，確定攻擊指令報文特征信息，包括：

確定所有攻擊開始指令報文中同一字節偏移上相同的字節內容，并將確定的相同的字節內容和對應的字節偏移劃分在攻擊開始集合中，以及確定所有攻擊停止指令報文中同一字節偏移上相同的字節內容，并將確定的相同的字節內容和對應的字節偏移劃分在攻擊停止集合中；

確定所述攻擊開始集合和所述攻擊停止集合中同一字節偏移上不同的字節內容以及所述不同的字節內容的字節數，并將確定的所述不同的字節內容、所述不同的字節內容的字節數以及所述不同的字節內容的字節偏移作為報文類型字段的偏移。

6.如權利要求4所述的方法，其特征在于，所述根據所述攻擊命令報文和/或所述攻擊屬性信息，確定攻擊指令報文特征信息，包括：

確定所有攻擊開始指令報文中同一字節偏移上不同的字節內容，并將確定的不同的字節內容和對應的字節偏移劃分在攻擊開始補集中；

將所述攻擊屬性信息根據攻擊類型相同但攻擊目標不同進行歸類，確定每類攻擊對應的攻擊開始指令和所述攻擊開始補集中同一字節偏移上相同的字節內容，從所述相同的字節內容中確定出攻擊類型字段，將確定的攻擊類型字段，攻擊類型字段的字節偏移以及攻擊類型字段的字節數作為攻擊類型字段的偏移和編碼。

7.如權利要求4所述的方法，其特征在于，所述根據所述攻擊命令報文和/或所述攻擊屬性信息，確定攻擊指令報文特征信息，包括：

確定攻擊目標和端口在所述攻擊開始指令中的字節偏移以及包含的字節數，將確定的所述攻擊目標和端口的字節偏移以及包含的字節數作為攻擊目標和端口字段的偏移和編碼；

所述攻擊目標和端口包括以下部分或全部：

目的網際協議地址；目的端口；源網際協議地址；源端口。