僵尸網(wǎng)絡檢測系統(tǒng)的分析與設計.pdf

1、隨著計算機網(wǎng)絡技術的迅猛發(fā)展和廣泛應用，網(wǎng)絡犯罪數(shù)量急劇增加，對用戶與企業(yè)造成的危害也越來越大。造成這一現(xiàn)象的主要原因是僵尸網(wǎng)絡的出現(xiàn)。僵尸網(wǎng)絡為攻擊者提供了隱匿、靈活且高效的一對多命令與控制機制，可以控制大量僵尸主機實現(xiàn)信息竊取、分布式拒絕服務攻擊和垃圾郵件發(fā)送等攻擊目的。僵尸網(wǎng)絡是整個網(wǎng)絡犯罪的核心，能夠?qū)⒕W(wǎng)絡犯罪世界里的各個部分聯(lián)接和統(tǒng)一起來。現(xiàn)階段僵尸網(wǎng)絡正步入快速發(fā)展時期，對互聯(lián)網(wǎng)安全已經(jīng)造成嚴重威脅。
　　 目前對僵

2、尸網(wǎng)絡的研究才剛剛興起，采用的也多為流量檢測的方法。但由于這種方法通常是等到僵尸網(wǎng)絡爆發(fā)后，才開始提取特征，因此不能及時準確地發(fā)現(xiàn)并遏制僵尸網(wǎng)絡。
　　 針對以上情況，本文的主要貢獻和創(chuàng)新在于：設計了一套既能夠檢測又能夠清除僵尸網(wǎng)絡的系統(tǒng)，并且從網(wǎng)絡層面提出了五種新的檢測僵尸網(wǎng)絡的方法。具體來說本文的工作主要包括如下幾個方面：
　　 1.總結了僵尸網(wǎng)絡的定義、工作原理及傳播途徑，并研究了傳統(tǒng)的檢測方法，同時簡要地論述和分

3、析了僵尸網(wǎng)絡的發(fā)展趨勢。
　　 2.在深入理解僵尸網(wǎng)絡特點的基礎上，本文設計了一套檢測系統(tǒng)，這套系統(tǒng)既能夠檢測到僵尸網(wǎng)絡，又能夠阻斷過濾僵尸網(wǎng)絡的流量，同時還能夠提供專殺軟件幫助用戶清除主機感染的僵尸程序。
　　 3.由于怎樣把僵尸網(wǎng)絡檢測出來一直是僵尸網(wǎng)絡研究的重點和難點，因此本文從網(wǎng)絡層面提出了五種新的基于異常流量的檢測方法，分別是：免疫虛擬機自動分析方案，異常行為識別方案，通信行為檢測方案，首包上線方案和異常IRC

4、檢測方案。根據(jù)檢測算法，系統(tǒng)能夠及時發(fā)現(xiàn)僵尸網(wǎng)絡的建立、控制與攻擊，并通過清洗模塊與專殺模塊進一步遏制僵尸網(wǎng)絡的擴散與危害。通過與傳統(tǒng)檢測方法的聯(lián)合，本文提出的檢測方法減少了對系統(tǒng)資源的需求，大大提高了系統(tǒng)的實效性，同時減少了“漏報率”和“誤報率”。
　　 4.本文還提出了兩種輔助驗證方案，用于判斷可疑主機是否參與了僵尸網(wǎng)絡，驗證系統(tǒng)檢測得到的結果是否正確。
　　 5.在設計與實現(xiàn)工作完成后，本文對檢測系統(tǒng)進行實驗室測試