僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)的分析與設(shè)計(jì).pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展和廣泛應(yīng)用，網(wǎng)絡(luò)犯罪數(shù)量急劇增加，對(duì)用戶與企業(yè)造成的危害也越來越大。造成這一現(xiàn)象的主要原因是僵尸網(wǎng)絡(luò)的出現(xiàn)。僵尸網(wǎng)絡(luò)為攻擊者提供了隱匿、靈活且高效的一對(duì)多命令與控制機(jī)制，可以控制大量僵尸主機(jī)實(shí)現(xiàn)信息竊取、分布式拒絕服務(wù)攻擊和垃圾郵件發(fā)送等攻擊目的。僵尸網(wǎng)絡(luò)是整個(gè)網(wǎng)絡(luò)犯罪的核心，能夠?qū)⒕W(wǎng)絡(luò)犯罪世界里的各個(gè)部分聯(lián)接和統(tǒng)一起來?，F(xiàn)階段僵尸網(wǎng)絡(luò)正步入快速發(fā)展時(shí)期，對(duì)互聯(lián)網(wǎng)安全已經(jīng)造成嚴(yán)重威脅。
　　 目前對(duì)僵

2、尸網(wǎng)絡(luò)的研究才剛剛興起，采用的也多為流量檢測(cè)的方法。但由于這種方法通常是等到僵尸網(wǎng)絡(luò)爆發(fā)后，才開始提取特征，因此不能及時(shí)準(zhǔn)確地發(fā)現(xiàn)并遏制僵尸網(wǎng)絡(luò)。
　　 針對(duì)以上情況，本文的主要貢獻(xiàn)和創(chuàng)新在于：設(shè)計(jì)了一套既能夠檢測(cè)又能夠清除僵尸網(wǎng)絡(luò)的系統(tǒng)，并且從網(wǎng)絡(luò)層面提出了五種新的檢測(cè)僵尸網(wǎng)絡(luò)的方法。具體來說本文的工作主要包括如下幾個(gè)方面：
　　 1.總結(jié)了僵尸網(wǎng)絡(luò)的定義、工作原理及傳播途徑，并研究了傳統(tǒng)的檢測(cè)方法，同時(shí)簡(jiǎn)要地論述和分

3、析了僵尸網(wǎng)絡(luò)的發(fā)展趨勢(shì)。
　　 2.在深入理解僵尸網(wǎng)絡(luò)特點(diǎn)的基礎(chǔ)上，本文設(shè)計(jì)了一套檢測(cè)系統(tǒng)，這套系統(tǒng)既能夠檢測(cè)到僵尸網(wǎng)絡(luò)，又能夠阻斷過濾僵尸網(wǎng)絡(luò)的流量，同時(shí)還能夠提供專殺軟件幫助用戶清除主機(jī)感染的僵尸程序。
　　 3.由于怎樣把僵尸網(wǎng)絡(luò)檢測(cè)出來一直是僵尸網(wǎng)絡(luò)研究的重點(diǎn)和難點(diǎn)，因此本文從網(wǎng)絡(luò)層面提出了五種新的基于異常流量的檢測(cè)方法，分別是：免疫虛擬機(jī)自動(dòng)分析方案，異常行為識(shí)別方案，通信行為檢測(cè)方案，首包上線方案和異常IRC

4、檢測(cè)方案。根據(jù)檢測(cè)算法，系統(tǒng)能夠及時(shí)發(fā)現(xiàn)僵尸網(wǎng)絡(luò)的建立、控制與攻擊，并通過清洗模塊與專殺模塊進(jìn)一步遏制僵尸網(wǎng)絡(luò)的擴(kuò)散與危害。通過與傳統(tǒng)檢測(cè)方法的聯(lián)合，本文提出的檢測(cè)方法減少了對(duì)系統(tǒng)資源的需求，大大提高了系統(tǒng)的實(shí)效性，同時(shí)減少了“漏報(bào)率”和“誤報(bào)率”。
　　 4.本文還提出了兩種輔助驗(yàn)證方案，用于判斷可疑主機(jī)是否參與了僵尸網(wǎng)絡(luò)，驗(yàn)證系統(tǒng)檢測(cè)得到的結(jié)果是否正確。
　　 5.在設(shè)計(jì)與實(shí)現(xiàn)工作完成后，本文對(duì)檢測(cè)系統(tǒng)進(jìn)行實(shí)驗(yàn)室測(cè)試