僵尸網絡對抗技術研究.pdf

1、隨著Internet的飛速發(fā)展，計算機和互聯(lián)網已經成為人們日常生活中不可或缺的元素，然而互聯(lián)網面臨著大量的安全威脅，僵尸網絡正是最嚴重的威脅之一。僵尸網絡是攻擊者利用互聯(lián)網秘密建立的可以集中控制的計算機群，它不是一個特指的安全事件，而是攻擊者手中的一個平臺，利用該平臺，攻擊者可以實現(xiàn)覆蓋面更廣，力度更高，更難于防范的攻擊。僵尸網絡的高度活躍引起多方重視，目前針對僵尸網絡的研究工作主要有五個方面，分別是檢測、測量、追蹤、主動防御和體系結構

2、研究，其中檢測是測量、追蹤和主動防御的基礎，體系結構研究是防治未來可能的僵尸網絡的前導。檢測、測量和追蹤工作的一個強力支持為蜜罐蜜網技術，于是雖然蜜罐技術研究不屬于僵尸網絡的研究方向，但它為僵尸網絡研究奠定基礎。本文圍繞著僵尸網絡的研究方向，針對僵尸網絡對抗技術進行深入研究，主要內容如下：
　　給出僵尸網絡的定義、屬性、演化脈絡及危害分析。對僵尸網絡五個研究方向的工作進行綜述，進一步明確本文的研究內容及目標。
　　研究面向僵

3、尸程序樣本捕獲的分布式蜜罐部署模型。僵尸程序樣本分析可以為僵尸網絡研究的各個方向提供強有力的支持，于是樣本捕獲是僵尸網絡研究的基礎。目前針對僵尸程序樣本捕獲的研究工作主要集中在蜜罐的設計、實現(xiàn)和應用，然而蜜罐部署策略研究能夠提高部署效率、降低部署成本，有重要的實際意義。本文提出的模型闡述了僵尸程序樣本分析需求、僵尸程序傳播屬性、檢測時間、檢測概率與蜜罐部署參數(shù)之間的關系。在模型分析的基礎上，提出蜜罐部署閾值和網絡距離兩個參數(shù)，這兩個參數(shù)

4、分別刻畫了蜜罐部署個數(shù)和蜜罐部署位置的最優(yōu)選擇，能夠為實際構建分布式蜜罐系統(tǒng)提供理論依據(jù)，旨在達到經濟與效益的平衡。
　　研究IRC僵尸網絡檢測算法。檢測技術研究是僵尸網絡對抗的重點，目前已有的IRC僵尸網絡檢測算法存在兩個問題：需要先驗知識以獲取匹配模式，無法滿足實時處理需求。為解決這兩個問題，本文提出了基于昵稱相似性和命令序列相似性這兩個終端行為特征的IRC僵尸網絡檢測算法。文中提出三個屬性分別從內容、組成和結構三方面互補的刻

5、畫兩個昵稱的相似性，給出了兩個昵稱相似性的量化因子，根據(jù)這量化因子生成彈性TRW算法以進行IRC僵尸網絡實時檢測。在分析僵尸終端登錄服務器的行為的基礎上，本文還提出了基于命令序列相似性的檢測輔助算法。
　　研究可重構的僵尸網絡體系結構。僵尸網絡體系結構研究是僵尸網絡對抗的另一方法，可以使安全研究人員提早預防未來可能出現(xiàn)的僵尸網絡。僵尸網絡命令控制信道是僵尸網絡的核心，以健壯性為其設計目標。目前已有的命令控制結構大多具備二級健壯性，

6、本文研究一個具備三級健壯性的可重構僵尸網絡的體系結構。該僵尸網絡具備兩個命令控制信道，采用Sniffer方式獲取命令，采用TOR Hidden Service保護關鍵節(jié)點，當通信C&C失效時，使用重構C&C對僵尸網絡進行重建。本文在分析其體系結構的同時，研究其弱點，擴展僵尸網絡生命周期，給出三種對抗可重構僵尸網絡的方法。
　　在已完成工作的基礎上，設計并實現(xiàn)大規(guī)模網絡環(huán)境下僵尸網絡檢測系統(tǒng)。該系統(tǒng)以高性能網絡捕包平臺為基礎，以蜜猴