基于流量分析的僵尸網(wǎng)絡檢測技術(shù)研究.pdf

1、僵尸網(wǎng)絡（Botnet）由被僵尸網(wǎng)絡控制服務器（Botmaster）控制的僵尸主機（Bots）組成。它為其他的網(wǎng)絡攻擊（如分布式拒絕服務攻擊、釣魚網(wǎng)站、垃圾郵件、敏感信息竊取等）提供了一個分布式的平臺，已經(jīng)成為互聯(lián)網(wǎng)的嚴重威脅之一。另一方面，隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)絡流量數(shù)據(jù)呈現(xiàn)出巨大化的趨勢，僵尸網(wǎng)絡通信更容易藏匿在正常通信中?，F(xiàn)有的僵尸網(wǎng)絡檢測方法大多不具備可擴展性且效率低下，不能適應日益增長的數(shù)據(jù)量。因此，有必要對僵尸網(wǎng)絡檢測技術(shù)，特

2、別是提高檢測方法的可擴展性和效率方向進行深入的研究。
　　本文給出一種基于流量分析的檢測模型，用于檢測基于P2P協(xié)議的僵尸網(wǎng)絡。模型的核心部分是PageRank算法，此算法具有良好的可擴展性和效率，可以使用并行計算工具進行處理。模型首先使用NetFlow技術(shù)采集網(wǎng)絡流量，然后對流量進行過濾和聚合得到網(wǎng)絡通信關(guān)系圖，使用PageRank算法分析網(wǎng)絡節(jié)點通信關(guān)系，輸出每個節(jié)點的權(quán)威值和樞紐值。最后，通過聚類分析PageRank算法輸出

3、值，找出聯(lián)系密切的節(jié)點，并利用蜜罐技術(shù)判定僵尸主機。為了提高模型效率本文對數(shù)據(jù)采集及聚類分析模塊做了以下改進：
　　1.在數(shù)據(jù)采集中添加預處理模塊用于過濾和聚合網(wǎng)絡流量以減輕流量采集的負擔，數(shù)據(jù)采集模塊僅負責將原始流量數(shù)據(jù)存儲在流文件中，可以避免路由器發(fā)出流量數(shù)據(jù)在數(shù)據(jù)采集模塊處大量堆積，并提高模型的效率和靈活性。將流量聚合分成一次聚合與二次聚合兩個步驟以進一步提高效率。
　　2.在模型中使用一種改進的k-means聚類算法