专利名称：基于节点的僵尸网络检测系统的制作方法
技术领域：
本实用新型涉及一种基于节点的僵尸网络检测系统，属于计算机网络入侵检测领域。
背景技术：
僵尸网络是一种从传统恶意代码进化而来的新型攻击形式。低成本高效地僵尸网络通过发送垃圾邮件、拒绝服务攻击、窃取敏感信息等恶意活动已对正常的网络服务造成严重威胁。僵尸网络研究涉及防御或抑制、迁移、传播、检测、可视化等各个方面，而其中的僵尸网络检测是对其进行有效防御和反制的基本前提。现有多数检测算法均基于包或流方式。虽然这类算法在很多实际环境中取得了较高的准确率等性能，但导致了诸如检测率低、 特征敏感、处理数据量大及无法识别未知僵尸等问题。实用新型内容为了解决上述问题，本实用新型提供一种基于节点的僵尸网络检测系统，适合大规模实时性的僵尸检测，能够发现未知的新型僵尸，防御范围更广、效率更高。本实用新型为解决其技术问题采用如下技术方案一种基于节点的僵尸网络检测系统，包括网络数据边缘捕获器、中心捕获器、检测机和控制服务器，网络数据边缘捕获器和中心捕获器分别与控制服务器连接，控制服务器与检测机连接。本实用新型的有益效果如下I、通过协调采样周期和时间窗口，减少需处理的捕获数据量。2、通过由检测率和准确度得到的综合因子改善评价指标。3、通过节点的层面提高对僵尸的检测范围。4、适合大规模实时性的僵尸检测，能够发现未知的新型僵尸，防御范围更广、效率更高。
图I为本实用新型的僵尸网络检测系统结构示意图。图2为本实用新型的僵尸网络检测流程示意图。
具体实施方式
以下结合附图对本发明创造做进一步详细说明。如图I所示，僵尸网络检测系统包括网络数据边缘捕获器、中心捕获器、检测机、控制服务器。网络数据边缘捕获器和中心捕获器分别与控制服务器连接，控制服务器与检测机连接。如图2所示，为僵尸网络检测流程图，网络数据边缘捕获器和中心捕获器分别放置在核心交换机和中心路由器的位置上，网络数据边缘捕获器和中心捕获器负责根据规则进行信息的获取，获取后的单个节点数据完成后通过相关协议与控制服务器交互，由控制服务器完成后续的合并处理工作，最后处理后的数据交给检测机进行检测并生成报告结果。其中网络数据边缘捕获器与控制服务器，中心捕获器与控制服务器，控制服务器与检测机之间通过通信线路(有线线路或无线线路)相互连接。采用节点的策略处理网络中的数据。节点对应一个IP地址，一个通信过程是节点间的相互交互，即一个通信过程有两个以上的流组成，而节点包含多个通信过程。以节点为检测对象，所表现的新特性主要有节点总的连接成功率，节点含有的通信个数，通信过程所使用的协议分布，节点的通信量等。提取的节点特征包括协议数、流的个数、发送包数、发送包与接受包数比、发送包平均长、发送包与接受包平均长度比等。采用节点策略提取特征后，对数据进行训练学习，形成检测模型。在提取节点特征时，采用时间抽样方法提取需处理的网络数据，即隔一定的周期进行网络数据的采集，时间窗口控制在60秒-180秒之间。生成检测报告时，对僵尸检测的效率采用综合因子指标进行评价，综合因子有检测率和精确率构成。
权利要求1.一种基于节点的僵尸网络检测系统，其特征在于包括网络数据边缘捕获器、中心捕获器、检测机和控制服务器，网络数据边缘捕获器和中心捕获器分别与控制服务器连接，控制服务器与检测机连接。
专利摘要本实用新型公开了一种基于节点的僵尸网络检测系统，属于计算机网络入侵检测领域。该系统包括网络数据边缘捕获器、中心捕获器、检测机和控制服务器，网络数据边缘捕获器和中心捕获器分别与控制服务器连接，控制服务器与检测机连接。该检测系统适合大规模实时性的僵尸检测，防御范围更广、效率更高。
文档编号H04L12/26GK202652243SQ201220292800
公开日2013年1月2日 申请日期2012年6月21日 优先权日2012年6月21日
发明者尹春勇, 孙汝霞, 杨磊 申请人:南京信息工程大学