CC通道检测方法

摘要

本发明公开了一种C&C通道检测方法，每隔第一周期统计所有的目的IP和源IP，将既不属于合法目的IP列表也不属于异常目的IP列表的目的IP及其对应的源IP记为初步可疑IP对；统计每个所述初步可疑IP对内目的IP和源IP之间传输的数据包个数，任意一个初步可疑IP内目的IP和源IP之间传输的数据包个数大于1000，和/或，统计每个所述初步可疑IP对内目的IP和源IP之间传输的上行流量和下行流量，任意一个初步可疑IP内目的IP和源IP之间传输的上行流量大于下行流量N倍，将该初步可疑IP对记为可疑IP对；将所述可疑IP对中同一目的IP对应的源IP个数小于或者等于3的目的IP加入到所述可疑目的IP列表，通过分析数据包得到攻击者服务器的IP和受控主机的IP。