基于无控制端流量分析的木马检测方法

摘要

本发明公开了一种基于无控制端流量分析的木马检测方法，首先，将捕获的网络数据包进行整理：按照五元组信息和协议规范要求组织成数据流；然后对这些数据流按照等价四元组进行分类，形成一个个由四元组标识的数据流集合；然后采用基于时间戳的数据流聚类算法对数据流集合中的数据流进行聚类，形成数据流簇。本发明在对网络数据流进行聚类形成数据流簇的基础上，以数据流簇为单位处理数据流，分析木马通信行为与正常网络通信行为的差别，并结合统计分析、数据挖掘等技术，深入挖掘二者之间的差别并提取网络通信特征，利用本发明可以实现对网络中的无控制端木马流量进行检测。