基于流量分析的僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)研究與實(shí)現(xiàn).pdf

1、從采用IRC協(xié)議的“egg drop bot”到高度模塊化的AgoBot，僵尸程序從最初的網(wǎng)絡(luò)聊天室輔助軟件，逐漸成為威脅網(wǎng)絡(luò)安全的主流惡意軟件之一。在僵尸網(wǎng)絡(luò)的攻防博弈中，IRC協(xié)議被HTTP、P2P等協(xié)議取代，并利用fast-flux，Domain-flux，URL-flux等技術(shù)加強(qiáng)僵尸網(wǎng)絡(luò)通信的隱蔽性。同時(shí)，僵尸網(wǎng)絡(luò)也摒棄了傳統(tǒng)的中心式C&C（Command and Control）信道結(jié)構(gòu)，采用了更加靈活和健壯的分布式C&C信

2、道結(jié)構(gòu)。
　　異常分析、DNS流量檢測(cè)及流量聚類檢測(cè)等僵尸網(wǎng)絡(luò)檢測(cè)手段是當(dāng)前較為常見(jiàn)的檢測(cè)手段。然而，這些檢測(cè)手段存在部署困難、難以應(yīng)用于分布式僵尸網(wǎng)絡(luò)的檢測(cè)等缺點(diǎn)。為了有效的對(duì)分布式僵尸網(wǎng)絡(luò)進(jìn)行檢測(cè)，論文對(duì)分布式僵尸網(wǎng)絡(luò)的生命周期、組成要素等重要特征進(jìn)行了分析研究，發(fā)現(xiàn)分布式僵尸網(wǎng)絡(luò)中的節(jié)點(diǎn)之間的通信數(shù)據(jù)包具有時(shí)空相關(guān)性。而這種相關(guān)性可以采用流量分析技術(shù)進(jìn)行檢測(cè)，論文將時(shí)空相關(guān)性這一檢測(cè)點(diǎn)與流量分析技術(shù)相結(jié)合，設(shè)計(jì)并實(shí)現(xiàn)了基于時(shí)

3、空相關(guān)性的僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)，該檢測(cè)系統(tǒng)通過(guò)分析被檢測(cè)網(wǎng)絡(luò)中的通信流量，最終得出檢測(cè)結(jié)果。該檢測(cè)系統(tǒng)由數(shù)據(jù)包聚合模塊、時(shí)空相關(guān)關(guān)系獲取模塊及僵尸主機(jī)檢測(cè)模塊構(gòu)成。數(shù)據(jù)包聚合模塊首先抓取原始的網(wǎng)絡(luò)數(shù)據(jù)包，然后按照數(shù)據(jù)包之間的時(shí)空相關(guān)性將原始數(shù)據(jù)包進(jìn)行聚合。時(shí)空相關(guān)關(guān)系獲取模塊負(fù)責(zé)對(duì)滿足時(shí)間間隔閾值和出現(xiàn)次數(shù)閾值的可信二層相關(guān)關(guān)系進(jìn)行提取，然后在此基礎(chǔ)上，進(jìn)行多層相關(guān)關(guān)系的獲取。僵尸網(wǎng)絡(luò)檢測(cè)模塊采用層次聚類算法，將小于距離閾值的主機(jī)節(jié)點(diǎn)聚合為