基于行為特征的IRC僵尸網絡檢測方法研究.pdf

1、僵尸網絡是在網絡蠕蟲、特洛伊木馬、后門工具等傳統(tǒng)惡意代碼形態(tài)的基礎上發(fā)展、融合而產生的一種新型攻擊方式。通過僵尸網絡可以發(fā)送垃圾郵件、竊取個人信息、發(fā)動拒絕服務攻擊等，是目前國際網絡安全領域最為關注的威脅之一。
　　本文首先介紹了僵尸網絡的定義和相關概念，研究僵尸網絡工作原理和生命周期，重點剖析了不同協議類別僵尸網絡的命令與控制機制，闡述了基于時區(qū)的僵尸網絡傳播模型，并對僵尸網絡跟蹤、檢測和防御研究領域的方法進行總結。
　　

2、在此基礎上深入研究IRC僵尸網絡運行機制，分析僵尸程序與控制服務器交互的網絡行為特征，提出了針對IRC僵尸網絡形成初期的檢測方法：昵稱檢測、控制命令檢測和命令序列相似性檢測。昵稱檢測通過分值計算、多正則式匹配和頻道昵稱距離檢測僵尸主機?？刂泼顧z測采用AC多模匹配增效算法查找僵尸網絡命令關鍵字。命令序列相似性檢測依據同頻道聊天主機發(fā)送命令內容相似度來發(fā)現僵尸網絡。三種檢測方法面向登錄過程不同階段，檢測結果互補，提高了僵尸網絡檢測率。最后