[發(fā)明專利]一種發(fā)現(xiàn)僵尸網(wǎng)絡(luò)及防護(hù)的方法、系統(tǒng)和存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201710817337.5
• 申請(qǐng)日: 2017-09-12
• 公開（公告）號(hào): CN107733867B
• 公開（公告）日: 2020-09-22
• 發(fā)明（設(shè)計(jì)）人: 趙躍明
• 申請(qǐng)（專利權(quán)）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 黃志華

1.一種發(fā)現(xiàn)僵尸網(wǎng)絡(luò)的方法，其特征在于，所述方法包括：

流量清洗設(shè)備將訪問待保護(hù)設(shè)備的訪問流量的訪問行為信息，與流量基線進(jìn)行比較，確定所述訪問流量中存在異常訪問行為的異常流量；

所述流量清洗設(shè)備通過云服務(wù)器，查詢所述云服務(wù)器的僵尸IP地址數(shù)據(jù)庫是否包括所述異常流量的源IP地址；

在為是時(shí)，所述流量清洗設(shè)備阻斷來自所述異常流量的源IP地址的流量；

在為否時(shí)，所述流量清洗設(shè)備確定所述異常流量為可疑流量，并將所述可疑流量的至少一個(gè)源IP地址發(fā)送至所述云服務(wù)器；

所述云服務(wù)器將所述至少一個(gè)可疑IP地址發(fā)送至DNS分析設(shè)備；

所述DNS分析設(shè)備判斷所述至少一個(gè)可疑IP地址的DNS查詢行為是否符合僵尸IP地址的DNS查詢行為特征，根據(jù)判斷結(jié)果確定是否存在僵尸網(wǎng)絡(luò)，所述僵尸IP地址的DNS查詢行為特征包括：是否長期保持對(duì)同一域名進(jìn)行DNS查詢，或所述DNS查詢行為是否為周期性查詢，或進(jìn)行查詢時(shí)的生存時(shí)間值是否低于預(yù)設(shè)閾值；和/或

判斷所述至少一個(gè)可疑IP地址查詢的域名是否符合控制服務(wù)器域名的特征，根據(jù)判斷結(jié)果確定是否存在僵尸網(wǎng)絡(luò)，所述控制服務(wù)器域名的特征包括：所述域名對(duì)應(yīng)的IP地址在地理上是否分散，或所述域名的注冊(cè)時(shí)間是否低于預(yù)設(shè)時(shí)間閾值，或所述域名是否符合通常的域名設(shè)置規(guī)則。

2.如權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

在確定存在所述僵尸網(wǎng)絡(luò)時(shí)，所述DNS分析設(shè)備獲得所述僵尸網(wǎng)絡(luò)包括的至少一個(gè)僵尸IP地址，并向所述云服務(wù)器發(fā)送所述至少一個(gè)僵尸IP地址；

所述云服務(wù)器根據(jù)所述至少一個(gè)僵尸IP地址，更新自身用于存儲(chǔ)僵尸IP地址的僵尸IP地址數(shù)據(jù)庫。

3.如權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

在確定存在所述僵尸網(wǎng)絡(luò)時(shí)，所述DNS分析設(shè)備獲得所述僵尸網(wǎng)絡(luò)包括的至少一個(gè)控制服務(wù)器域名；

所述DNS分析設(shè)備阻斷用于查詢所述至少一個(gè)控制服務(wù)器域名中任一控制服務(wù)器域名的DNS查詢流量。

4.一種發(fā)現(xiàn)僵尸網(wǎng)絡(luò)的系統(tǒng)，其特征在于，所述系統(tǒng)包括流量清洗設(shè)備、云服務(wù)器和DNS分析設(shè)備，其中：

所述流量清洗設(shè)備，用于將訪問待保護(hù)設(shè)備的訪問流量的訪問行為信息，與流量基線進(jìn)行比較，確定所述訪問流量中存在異常訪問行為的異常流量；通過所述云服務(wù)器，查詢所述云服務(wù)器的僵尸IP地址數(shù)據(jù)庫是否包括所述異常流量的源IP地址；在為否時(shí)，確定所述異常流量為可疑流量，并將所述可疑流量的至少一個(gè)源IP地址發(fā)送至所述云服務(wù)器；在為是時(shí)，阻斷來自所述異常流量的源IP地址的流量；

所述云服務(wù)器，用于將所述至少一個(gè)可疑IP地址發(fā)送至所述DNS分析設(shè)備；

所述DNS分析設(shè)備，用于基于所述至少一個(gè)可疑IP地址，判斷所述至少一個(gè)可疑IP地址的DNS查詢行為是否符合僵尸IP地址的DNS查詢行為特征，根據(jù)判斷結(jié)果確定是否存在僵尸網(wǎng)絡(luò)，所述僵尸IP地址的DNS查詢行為特征包括：是否長期保持對(duì)同一域名進(jìn)行DNS查詢，或所述DNS查詢行為是否為周期性查詢，或進(jìn)行查詢時(shí)的生存時(shí)間值是否低于預(yù)設(shè)閾值；和/或

判斷所述至少一個(gè)可疑IP地址查詢的域名是否符合控制服務(wù)器域名的特征，根據(jù)判斷結(jié)果確定是否存在僵尸網(wǎng)絡(luò)，所述控制服務(wù)器域名的特征包括：所述域名對(duì)應(yīng)的IP地址在地理上是否分散，或所述域名的注冊(cè)時(shí)間是否低于預(yù)設(shè)時(shí)間閾值，或所述域名是否符合通常的域名設(shè)置規(guī)則。

5.如權(quán)利要求4所述的系統(tǒng)，其特征在于，所述DNS分析設(shè)備還用于：

在確定存在所述僵尸網(wǎng)絡(luò)時(shí)，獲得所述僵尸網(wǎng)絡(luò)包括的至少一個(gè)僵尸IP地址，并向所述云服務(wù)器發(fā)送所述至少一個(gè)僵尸IP地址；

所述云服務(wù)器還用于：根據(jù)所述至少一個(gè)僵尸IP地址，更新自身用于存儲(chǔ)僵尸IP地址的僵尸IP地址數(shù)據(jù)庫。

6.如權(quán)利要求4所述的系統(tǒng)，其特征在于，所述DNS分析設(shè)備還用于：

在確定存在所述僵尸網(wǎng)絡(luò)時(shí)，獲得所述僵尸網(wǎng)絡(luò)包括的至少一個(gè)控制服務(wù)器域名；以及

阻斷用于查詢所述至少一個(gè)控制服務(wù)器域名中任一控制服務(wù)器域名的DNS查詢流量。

7.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有計(jì)算機(jī)程序，當(dāng)所述計(jì)算機(jī)程序被加載并運(yùn)行時(shí)，執(zhí)行如權(quán)利要求1-3中任一權(quán)利要求所述的發(fā)現(xiàn)僵尸網(wǎng)絡(luò)的方法。