[發(fā)明專利]僵尸網(wǎng)絡檢測的方法、裝置、電子設備及可讀存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202210731247.5
• 申請日: 2022-06-24
• 公開（公告）號: CN115118491A
• 公開（公告）日: 2022-09-27
• 發(fā)明（設計）人: 劉柱;鮑青波;張楠
• 申請（專利權(quán)）人: 北京天融信網(wǎng)絡安全技術(shù)有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N3/04;G06N3/08
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 周宇

1.一種僵尸網(wǎng)絡檢測的方法，其特征在于，包括：

獲取網(wǎng)絡原始數(shù)據(jù)，所述網(wǎng)絡原始數(shù)據(jù)為不同網(wǎng)絡節(jié)點之間的傳輸數(shù)據(jù)；

基于所述網(wǎng)絡原始數(shù)據(jù)，以及預先訓練好的網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息，所述網(wǎng)絡檢測模型是基于圖神經(jīng)網(wǎng)絡以及注意力機制構(gòu)建的。

2.如權(quán)利要求1所述的方法，其特征在于，所述基于所述網(wǎng)絡原始數(shù)據(jù)，以及預先訓練好的網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息，包括：

對所述網(wǎng)絡原始數(shù)據(jù)中的各數(shù)據(jù)包進行解析，分別獲得每一數(shù)據(jù)包的通信特征，所述通信特征包括源網(wǎng)絡地址和目的網(wǎng)絡地址；

基于各數(shù)據(jù)包的通信特征，將各數(shù)據(jù)包進行劃分，獲得劃分出的各數(shù)據(jù)流，所述數(shù)據(jù)流表示兩個網(wǎng)絡節(jié)點之間的會話；

根據(jù)各數(shù)據(jù)流的源網(wǎng)絡地址和目的網(wǎng)絡地址，構(gòu)建各網(wǎng)絡節(jié)點之間的圖結(jié)構(gòu)網(wǎng)絡，所述源網(wǎng)絡地址和所述目的網(wǎng)絡地址用于確定所述圖結(jié)構(gòu)網(wǎng)絡中不同網(wǎng)絡節(jié)點之間的關(guān)系；

基于所述圖結(jié)構(gòu)網(wǎng)絡以及所述網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息。

3.如權(quán)利要求2所述的方法，其特征在于，所述基于所述圖結(jié)構(gòu)網(wǎng)絡以及所述網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息，包括：

獲取僵尸網(wǎng)絡種子節(jié)點，所述僵尸網(wǎng)絡種子節(jié)點表示被入侵的僵尸主機；

基于所述僵尸網(wǎng)絡種子節(jié)點，提取所述圖結(jié)構(gòu)網(wǎng)絡中的局部社區(qū)，所述局部社區(qū)為所述圖結(jié)構(gòu)網(wǎng)絡中的子網(wǎng)絡；

基于所述局部社區(qū)，以及所述網(wǎng)絡檢測模型，獲得所述僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息。

4.如權(quán)利要求3所述的方法，其特征在于，在所述基于所述局部社區(qū)，以及所述網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息之前，所述方法還包括：

若所述局部社區(qū)為多個，則根據(jù)所述局部社區(qū)中各網(wǎng)絡節(jié)點與所述僵尸網(wǎng)絡種子節(jié)點之間的網(wǎng)絡距離，確定各網(wǎng)絡節(jié)點分別與所述僵尸網(wǎng)絡種子節(jié)點之間的相似度；

根據(jù)各相似度，將各局部社區(qū)進行合并，獲得合并后的局部社區(qū)。

5.如權(quán)利要求3或4所述的方法，其特征在于，所述基于所述局部社區(qū)，以及所述網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息，包括：

采用注意力機制，基于所述局部社區(qū)中各網(wǎng)絡節(jié)點之間的數(shù)據(jù)傳輸特征，分別確定每兩個網(wǎng)絡節(jié)點之間的權(quán)重，所述數(shù)據(jù)傳輸特征是根據(jù)不同網(wǎng)絡節(jié)點之間傳輸?shù)臄?shù)據(jù)包大小確定的；

根據(jù)所述局部社區(qū)以及每兩個網(wǎng)絡節(jié)點之間的權(quán)重，確定各網(wǎng)絡節(jié)點各自的風險分數(shù)；

將風險分數(shù)高于風險閾值的網(wǎng)絡節(jié)點，確定為所述僵尸網(wǎng)絡節(jié)點；

獲取所述僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息。

6.如權(quán)利要求5所述方法，其特征在于，所述通信特征還包括數(shù)據(jù)包的源端口、目的端口以及傳輸協(xié)議；

所述數(shù)據(jù)傳輸特征包括以下參數(shù)中的至少一個：會話時間、數(shù)據(jù)包大小、傳輸總字節(jié)數(shù)、數(shù)據(jù)包平均長度、數(shù)據(jù)包長度標準差、最大字節(jié)傳輸速度以及數(shù)據(jù)包傳輸速率；

所述網(wǎng)絡檢測模型是基于正樣本數(shù)據(jù)和負樣本數(shù)據(jù)訓練獲得的，所述負樣本數(shù)據(jù)是基于局部社區(qū)中的網(wǎng)絡節(jié)點獲得的，所述正樣本數(shù)據(jù)是基于局部社區(qū)外中的網(wǎng)絡節(jié)點獲得的。

7.如權(quán)利要求1-4任一項所述的方法，其特征在于，在所述基于所述網(wǎng)絡原始數(shù)據(jù)，以及預先訓練好的網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息之前，所述方法還包括：

從所述網(wǎng)絡原始數(shù)據(jù)中去除符合以下任一設定安全條件的數(shù)據(jù)流：

白名單中包含數(shù)據(jù)流的目的網(wǎng)絡地址；

所述數(shù)據(jù)流的傳輸協(xié)議為非指定傳輸協(xié)議；

數(shù)據(jù)流的傳輸時長低于設定時長；

數(shù)據(jù)流不滿足會話成功建立條件；

數(shù)據(jù)流的傳輸方向為非設定傳輸方向。

8.一種僵尸網(wǎng)絡檢測的裝置，其特征在于，包括：

獲取單元，用于獲取網(wǎng)絡原始數(shù)據(jù)，所述網(wǎng)絡原始數(shù)據(jù)為不同網(wǎng)絡節(jié)點之間的傳輸數(shù)據(jù)；

檢測單元，用于基于所述網(wǎng)絡原始數(shù)據(jù)，以及預先訓練好的網(wǎng)絡檢測模型，獲得僵尸網(wǎng)絡節(jié)點的網(wǎng)絡地址信息，所述網(wǎng)絡檢測模型是基于圖神經(jīng)網(wǎng)絡以及注意力機制構(gòu)建的。