[發(fā)明專利]一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法

有效

• 申請?zhí)枺?/td>: 201710049392.4
• 申請日: 2017-01-20
• 公開（公告）號: CN106790245B
• 公開（公告）日: 2020-06-19
• 發(fā)明（設(shè)計）人: 朱靜軒;孟彥;魏鴻坤
• 申請（專利權(quán)）人: 中新網(wǎng)絡(luò)信息安全股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 安徽匯樸律師事務(wù)所 34116
• 代理人: 李啟勝

1.一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法，其特征在于步驟如下：

步驟一、數(shù)據(jù)采集，通過數(shù)據(jù)采集系統(tǒng)采集硬件防火墻受到的攻擊行為的原始數(shù)據(jù)，并上傳至ElasticSearch云系統(tǒng)儲存；

步驟二、數(shù)據(jù)分析，利用ElasticSearch云系統(tǒng)，使用DBSCAN算法對步驟一中上傳至ElasticSearch云系統(tǒng)的數(shù)據(jù)進(jìn)行處理，將處理結(jié)果中數(shù)據(jù)類別最多的一類數(shù)據(jù)定義為僵尸網(wǎng)絡(luò)類別，僵尸網(wǎng)絡(luò)類別的聚類數(shù)據(jù)稱為模板數(shù)據(jù)，比對模板數(shù)據(jù)和原始數(shù)據(jù)，獲得僵尸網(wǎng)絡(luò)類別的源IP數(shù)組；

步驟三、提取僵尸網(wǎng)絡(luò)類別的源IP數(shù)組中僵尸網(wǎng)絡(luò)肉機(jī)的IP地址，制作黑名單儲存于ElasticSearch云系統(tǒng)中；

步驟四、將ElasticSearch云系統(tǒng)中儲存的黑名單分發(fā)到硬件防火墻和數(shù)據(jù)采集系統(tǒng)；

所述步驟一中，通過數(shù)據(jù)采集系統(tǒng)采集硬件防火墻受到的攻擊行為的原始數(shù)據(jù)的過程中，基于時間序列進(jìn)行抽樣，形成采樣樣本，采樣樣本中每個樣本的字段信息包括源IP地址，源PORT，目的IP地址，目的PORT，協(xié)議類型、采樣時間、數(shù)據(jù)大小和數(shù)據(jù)包內(nèi)容信息，其中除數(shù)據(jù)包內(nèi)容信息外其他參數(shù)均為數(shù)值型，數(shù)據(jù)包內(nèi)容信息為字符型數(shù)據(jù)；

對數(shù)據(jù)包內(nèi)容信息進(jìn)行DJBhash計算，得到DJBhash值；

對采樣樣本的每個樣本的各個字段信息進(jìn)行Simhash計算，得到內(nèi)容Simhash值，記錄Simhash值的二進(jìn)制數(shù)字段為該樣本的數(shù)據(jù)庫ID，Simhash值中1出現(xiàn)的個數(shù)為該樣本的類別標(biāo)志；

將DJBhash值、Simhash值和樣本的所有字段信息作為原始數(shù)據(jù)上傳至ElasticSearch云系統(tǒng)。

2.如權(quán)利要求1所述一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法，其特征在于：所述步驟三中，提取類別標(biāo)識數(shù)字出現(xiàn)次數(shù)最多的三類樣本的源IP地址，去重后制作成黑名單儲存在ElasticSearch云系統(tǒng)中。

3.如權(quán)利要求2所述一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法，其特征在于：在所述步驟二中，計算原始數(shù)據(jù)中每一個樣本和其他所有樣本之間的相似度，獲得全部相似度的集合后，按相似度大小升序排列，取相似度大小位于前10％的所有數(shù)值的均值作為DBSCAN算法的密度半徑，DBSCAN算法的樣本閾值取采樣樣本中所含字段數(shù)加1。

4.如權(quán)利要求3所述一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法，其特征在于：所述相似度用海明距離表示。

5.如權(quán)利要求1所述一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法，其特征在于：所述步驟三中，每隔1小時制作一次黑名單。

6.如權(quán)利要求5所述一種基于云服務(wù)的實時僵尸網(wǎng)絡(luò)檢測方法，其特征在于：所述步驟四，定期分發(fā)更新黑名單，更新頻率分為3個級別：1小時更新一次，12小時更新一次，24小時更新一次；當(dāng)防火墻被DDos一天之內(nèi)攻擊次數(shù)不大于1次，24小時更新一次，當(dāng)防火墻被DDos一天之內(nèi)攻擊次數(shù)為2～10次，12小時更新一次，當(dāng)防火墻被DDos一天之內(nèi)攻擊次數(shù)大于10次，1小時更新一次。