公开(公告)号：CN105681250A

公开(公告)日：2016-06-15

申请号：CN201410655378.5

申请日：2014-11-17

Applicant: 中国信息安全测评中心 ,  北京启明星辰信息安全技术有限公司 ,  北京启明星辰信息技术股份有限公司

Inventor： 胡卫华 ,  班晓芳 ,  曲武 ,  张利 ,  孟祥杰 ,  刘锡峰 ,  梁杰

IPC: H04L29/06

Abstract: 本发明公开了一种僵尸网络分布式实时检测方法和系统，包括：数据生成组件生成网络流量元数据Netflow信息，并发送给数据检测组件；数据检测组件的检测模型训练单元从经过标注的训练数据中提取多个训练检测特征，建立作为实时检测单元的检测标准的检测模型；数据检测组件的实时检测单元接收实时发送的Netflow信息，并提取多个检测特征，与上述检测模型进行比较，当比较结果匹配时，得出包括检测对象标识符的告警信息，将所述告警信息与主机黑白名单比较，得出确认受控僵尸主机和可疑受控僵尸主机。本发明的方案既可以应用在千兆流量的企业网，又可以应用到ISPs网络中；提高了僵尸网络检测的总体检测性能。

公开(公告)号：CN105681250B

公开(公告)日：2019-04-02

申请号：CN201410655378.5

申请日：2014-11-17

Applicant: 中国信息安全测评中心 ,  北京启明星辰信息安全技术有限公司 ,  北京启明星辰信息技术股份有限公司

Inventor： 胡卫华 ,  班晓芳 ,  曲武 ,  张利 ,  孟祥杰 ,  刘锡峰 ,  梁杰

IPC: H04L29/06

Abstract: 本发明公开了一种僵尸网络分布式实时检测方法和系统，包括：数据生成组件生成网络流量元数据Netflow信息，并发送给数据检测组件；数据检测组件的检测模型训练单元从经过标注的训练数据中提取多个训练检测特征，建立作为实时检测单元的检测标准的检测模型；数据检测组件的实时检测单元接收实时发送的Netflow信息，并提取多个检测特征，与上述检测模型进行比较，当比较结果匹配时，得出包括检测对象标识符的告警信息，将所述告警信息与主机黑白名单比较，得出确认受控僵尸主机和可疑受控僵尸主机。本发明的方案既可以应用在千兆流量的企业网，又可以应用到ISPs网络中；提高了僵尸网络检测的总体检测性能。