基于時(shí)空關(guān)聯(lián)性的僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)的研究與實(shí)現(xiàn).pdf

1、僵尸網(wǎng)絡(luò)是指控制者出于惡意目的使用僵尸程序感染大量網(wǎng)絡(luò)主機(jī)并對(duì)其進(jìn)行控制從而形成的一種攻擊網(wǎng)絡(luò)，它主要通過(guò)命令與控制(C&C)信道進(jìn)行通信。僵尸網(wǎng)絡(luò)可以用來(lái)執(zhí)行分布式拒絕服務(wù)(DDoS)攻擊、發(fā)送垃圾郵件、竊取個(gè)人信息等網(wǎng)絡(luò)惡意行為，從而給互聯(lián)網(wǎng)安全帶來(lái)了嚴(yán)重的威脅。
　　隨著僵尸網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，新的僵尸類型及其變種屢見(jiàn)不鮮，僵尸網(wǎng)絡(luò)的檢測(cè)技術(shù)也在不斷更新。然而時(shí)至今日，還沒(méi)有一種方法能夠?qū)λ蓄愋偷慕┦W(wǎng)絡(luò)進(jìn)行檢測(cè)，每種檢測(cè)

2、方法只能對(duì)部分僵尸樣本或者某一個(gè)僵尸族有比較好的檢測(cè)效果。但是在僵尸網(wǎng)絡(luò)及其檢測(cè)技術(shù)發(fā)展的歷程中，可以看到:為了增強(qiáng)僵尸網(wǎng)絡(luò)的魯棒性和健壯性，越來(lái)越多的僵尸網(wǎng)絡(luò)控制者傾向于使用加密的通信方式從而躲避檢測(cè);僵尸網(wǎng)絡(luò)控制者通過(guò)C&C信道向僵尸機(jī)發(fā)布命令從而對(duì)其進(jìn)行控制，C&C通信的檢測(cè)能夠很好地表征僵尸網(wǎng)絡(luò)的存在;僵尸網(wǎng)絡(luò)由于其群體性以及協(xié)同工作機(jī)制的存在，其內(nèi)部主機(jī)產(chǎn)生的消息響應(yīng)或行為響應(yīng)具有一定的時(shí)空關(guān)聯(lián)性。
　　針對(duì)上述問(wèn)題的存

3、在，本文主要對(duì)加密流量識(shí)別、C&C通信檢測(cè)以及僵尸網(wǎng)絡(luò)的時(shí)空關(guān)聯(lián)性進(jìn)行了研究與分析，在這些工作的基礎(chǔ)上設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于時(shí)空關(guān)聯(lián)性的僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)。本文的主要工作有:(1)利用流量加密前后有效負(fù)載的混亂性和隨機(jī)性發(fā)生變化這一特性，提出了基于流的加密流量識(shí)別方法，使用相對(duì)熵和Monte CarloPI估計(jì)誤差作為特征，與僅使用相對(duì)熵作為特征向量的方法相比，準(zhǔn)確率較高且誤報(bào)率低;(2) HTTP僵尸主機(jī)在與C&C服務(wù)器進(jìn)行通信時(shí)的流量屬