[發明專利]一種僵尸網絡檢測方法和裝置

在審

• 申請號: 202010597318.8
• 申請日: 2020-06-28
• 公開（公告）號: CN111756757A
• 公開（公告）日: 2020-10-09
• 發明（設計）人: 陳霖;楊祎巍;索思亮;匡曉云;許愛東;洪超;黃開天;徐培明
• 申請（專利權）人: 南方電網科學研究院有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 黃忠

1.一種僵尸網絡檢測方法，其特征在于，包括：

獲取預設網絡的多個數據包，將所述多個數據包組合成數據流；

提取所述數據流的多個特征數據，對每個特征數據進行預處理，得到預處理特征數據；

基于預設長短記憶網絡提取所述預處理特征數據，生成數據流特征向量；

基于所述長短記憶網絡提取所述多個數據包之間的序列關系，并根據所述數據流特征向量和所述序列關系生成網絡流向量；

將所述網絡流向量輸入預設分類器中得到分類結果，并根據所述分類結果確定所述預設網絡是否為僵尸網絡。

2.根據權利要求1所述的方法，其特征在于，所述基于預設長短記憶網絡提取所述預處理特征數據，生成數據流特征向量的步驟，包括：

基于預設長短記憶網絡提取所述預處理特征數據，生成每個數據包對應的數據包特征向量；

獲取所述數據流中數據包的時序信息；

基于所述時序信息，采用所述多個數據包分別對應的數據包特征向量，生成數據流特征向量。

3.根據權利要求2所述的方法，其特征在于，所述基于所述長短記憶網絡提取所述多個數據包之間的序列關系，并根據所述數據流特征向量和所述序列關系生成網絡流向量的步驟，包括：

基于所述長短記憶網絡提取所述多個數據包之間的序列關系，基于所述序列關系確定末位數據包特征向量，并根據所述數據流特征向量和所述末位數據包特征向量生成網絡流向量。

4.根據權利要求1所述的方法，其特征在于，所述對每個特征數據進行預處理，得到預處理特征數據的步驟，包括：

計算所述多個特征數據的標準差和平均值，采用所述標準差和所述平均值計算得到所述多個特征數據中每個特征數據對應的預處理特征數據。

5.根據權利要求1所述的方法，其特征在于，所述將所述多個數據包組合成數據流的步驟，包括：

獲取每個數據包的IP信息、端口信息和協議號，將所述IP信息、所述端口信息和所述協議號相同的數據包組合成數據流。

6.一種僵尸網絡檢測裝置，其特征在于，包括：

數據流組合模塊，用于獲取預設網絡的多個數據包，將所述多個數據包組合成數據流；

預處理特征數據生成模塊，用于提取所述數據流的多個特征數據，對每個特征數據進行預處理，得到預處理特征數據；

數據流特征向量生成模塊，用于基于預設長短記憶網絡提取所述預處理特征數據，生成數據流特征向量；

網絡流向量生成模塊，用于基于所述長短記憶網絡提取所述多個數據包之間的序列關系，并根據所述數據流特征向量和所述序列關系生成網絡流向量；

分類模塊，用于將所述網絡流向量輸入預設分類器中得到分類結果，并根據所述分類結果確定所述預設網絡是否為僵尸網絡。

7.根據權利要求6所述的裝置，其特征在于，所述數據流特征向量生成模塊，包括：

數據包特征向量生成子模塊，用于基于預設長短記憶網絡提取所述預處理特征數據，生成每個數據包對應的數據包特征向量；

時序信息獲取子模塊，用于獲取所述數據流中數據包的時序信息；

數據流特征向量生成子模塊，用于基于所述時序信息，采用所述多個數據包分別對應的數據包特征向量，生成數據流特征向量。

8.根據權利要求7所述的裝置，其特征在于，所述網絡流向量生成模塊，包括：

網絡流向量生成子模塊，用于基于所述長短記憶網絡提取所述多個數據包之間的序列關系，基于所述序列關系確定末位數據包特征向量，并根據所述數據流特征向量和所述末位數據包特征向量生成網絡流向量。

9.根據權利要求6所述的裝置，其特征在于，所述預處理特征數據生成模塊，包括：

預處理特征數據生成子模塊，用于計算所述多個特征數據的標準差和平均值，采用所述標準差和所述平均值計算得到所述多個特征數據中每個特征數據對應的預處理特征數據。

10.根據權利要求6所述的裝置，其特征在于，所述數據流組合模塊，包括：

數據流組合子模塊，用于獲取每個數據包的IP信息、端口信息和協議號，將所述IP信息、所述端口信息和所述協議號相同的數據包組合成數據流。