基于流量分析的僵尸網(wǎng)絡(luò)檢測技術(shù)研究與實(shí)現(xiàn).pdf

1、從采用IRC協(xié)議的“egg drop bot”到高度模塊化的AgoBot，僵尸程序從最初的網(wǎng)絡(luò)聊天室輔助軟件，逐漸成為威脅網(wǎng)絡(luò)安全的主流惡意軟件之一。在僵尸網(wǎng)絡(luò)的攻防博弈中，IRC協(xié)議被HTTP、P2P等協(xié)議取代，并利用fast-flux，Domain-flux，URL-flux等技術(shù)加強(qiáng)僵尸網(wǎng)絡(luò)通信的隱蔽性。同時(shí)，僵尸網(wǎng)絡(luò)也摒棄了傳統(tǒng)的中心式C&C（Command and Control）信道結(jié)構(gòu)，采用了更加靈活和健壯的分布式C&C信

2、道結(jié)構(gòu)。
　　異常分析、DNS流量檢測及流量聚類檢測等僵尸網(wǎng)絡(luò)檢測手段是當(dāng)前較為常見的檢測手段。然而，這些檢測手段存在部署困難、難以應(yīng)用于分布式僵尸網(wǎng)絡(luò)的檢測等缺點(diǎn)。為了有效的對分布式僵尸網(wǎng)絡(luò)進(jìn)行檢測，論文對分布式僵尸網(wǎng)絡(luò)的生命周期、組成要素等重要特征進(jìn)行了分析研究，發(fā)現(xiàn)分布式僵尸網(wǎng)絡(luò)中的節(jié)點(diǎn)之間的通信數(shù)據(jù)包具有時(shí)空相關(guān)性。而這種相關(guān)性可以采用流量分析技術(shù)進(jìn)行檢測，論文將時(shí)空相關(guān)性這一檢測點(diǎn)與流量分析技術(shù)相結(jié)合，設(shè)計(jì)并實(shí)現(xiàn)了基于時(shí)

3、空相關(guān)性的僵尸網(wǎng)絡(luò)檢測系統(tǒng)，該檢測系統(tǒng)通過分析被檢測網(wǎng)絡(luò)中的通信流量，最終得出檢測結(jié)果。該檢測系統(tǒng)由數(shù)據(jù)包聚合模塊、時(shí)空相關(guān)關(guān)系獲取模塊及僵尸主機(jī)檢測模塊構(gòu)成。數(shù)據(jù)包聚合模塊首先抓取原始的網(wǎng)絡(luò)數(shù)據(jù)包，然后按照數(shù)據(jù)包之間的時(shí)空相關(guān)性將原始數(shù)據(jù)包進(jìn)行聚合。時(shí)空相關(guān)關(guān)系獲取模塊負(fù)責(zé)對滿足時(shí)間間隔閾值和出現(xiàn)次數(shù)閾值的可信二層相關(guān)關(guān)系進(jìn)行提取，然后在此基礎(chǔ)上，進(jìn)行多層相關(guān)關(guān)系的獲取。僵尸網(wǎng)絡(luò)檢測模塊采用層次聚類算法，將小于距離閾值的主機(jī)節(jié)點(diǎn)聚合為