基于流量分析的僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)（Botnet）由被僵尸網(wǎng)絡(luò)控制服務(wù)器（Botmaster）控制的僵尸主機(jī)（Bots）組成。它為其他的網(wǎng)絡(luò)攻擊（如分布式拒絕服務(wù)攻擊、釣魚(yú)網(wǎng)站、垃圾郵件、敏感信息竊取等）提供了一個(gè)分布式的平臺(tái)，已經(jīng)成為互聯(lián)網(wǎng)的嚴(yán)重威脅之一。另一方面，隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)絡(luò)流量數(shù)據(jù)呈現(xiàn)出巨大化的趨勢(shì)，僵尸網(wǎng)絡(luò)通信更容易藏匿在正常通信中?，F(xiàn)有的僵尸網(wǎng)絡(luò)檢測(cè)方法大多不具備可擴(kuò)展性且效率低下，不能適應(yīng)日益增長(zhǎng)的數(shù)據(jù)量。因此，有必要對(duì)僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)，特

2、別是提高檢測(cè)方法的可擴(kuò)展性和效率方向進(jìn)行深入的研究。
　　本文給出一種基于流量分析的檢測(cè)模型，用于檢測(cè)基于P2P協(xié)議的僵尸網(wǎng)絡(luò)。模型的核心部分是PageRank算法，此算法具有良好的可擴(kuò)展性和效率，可以使用并行計(jì)算工具進(jìn)行處理。模型首先使用NetFlow技術(shù)采集網(wǎng)絡(luò)流量，然后對(duì)流量進(jìn)行過(guò)濾和聚合得到網(wǎng)絡(luò)通信關(guān)系圖，使用PageRank算法分析網(wǎng)絡(luò)節(jié)點(diǎn)通信關(guān)系，輸出每個(gè)節(jié)點(diǎn)的權(quán)威值和樞紐值。最后，通過(guò)聚類分析PageRank算法輸出

3、值，找出聯(lián)系密切的節(jié)點(diǎn)，并利用蜜罐技術(shù)判定僵尸主機(jī)。為了提高模型效率本文對(duì)數(shù)據(jù)采集及聚類分析模塊做了以下改進(jìn)：
　　1.在數(shù)據(jù)采集中添加預(yù)處理模塊用于過(guò)濾和聚合網(wǎng)絡(luò)流量以減輕流量采集的負(fù)擔(dān)，數(shù)據(jù)采集模塊僅負(fù)責(zé)將原始流量數(shù)據(jù)存儲(chǔ)在流文件中，可以避免路由器發(fā)出流量數(shù)據(jù)在數(shù)據(jù)采集模塊處大量堆積，并提高模型的效率和靈活性。將流量聚合分成一次聚合與二次聚合兩個(gè)步驟以進(jìn)一步提高效率。
　　2.在模型中使用一種改進(jìn)的k-means聚類算法