僵尸控制行為識別及檢測方法研究.pdf

1、僵尸網(wǎng)絡(luò)是由大量被控主機構(gòu)成的可用來發(fā)動大規(guī)模網(wǎng)絡(luò)攻擊的惡意受控群體，它通常受到某個特定操控端的控制，在接受命令后發(fā)起惡意攻擊。近年來，僵尸網(wǎng)絡(luò)的控制能力越發(fā)強健。組織結(jié)構(gòu)從普通的集中控制型逐漸轉(zhuǎn)變成分布式和結(jié)構(gòu)化的P2P模式，控制協(xié)議也更加的多元化，甚至出現(xiàn)了多種協(xié)議加密的僵尸變種，給檢測技術(shù)的研究帶來了巨大的挑戰(zhàn)。控制信道作為僵尸網(wǎng)絡(luò)進行網(wǎng)絡(luò)構(gòu)建和功能執(zhí)行的咽喉要道，對其識別和檢測方法的研究顯得至關(guān)重要。
　　 本課題針對兩

2、種僵尸網(wǎng)絡(luò)控制類型，提出控制行為的識別算法，并以此設(shè)計檢測系統(tǒng)框架。對于集中控制式的IRC僵尸網(wǎng)絡(luò)，首先通過協(xié)議匹配識別出IRC會話，然后利用高效的多模式匹配算法提取服務(wù)器至客戶端所有封包中的惡意控制關(guān)鍵字，最后根據(jù)關(guān)鍵字的不同進行進一步分析和歸類處理。對于P2P僵尸網(wǎng)絡(luò)，由于其控制信道的協(xié)議未知性，采用基于流特征相似性判定的方法對控制行為進行識別。首先，利用剩余熵的理論初步提取校網(wǎng)環(huán)境中的P2P控制流量，接著利用 序列假設(shè)檢驗算法量化

3、控制流相似性，最后使用相似性量化值及流平均包數(shù)所構(gòu)成的二維隨機變量進行支持向量機的訓(xùn)練并對結(jié)果進行預(yù)測。
　　 在對華中科技大學(xué)校園網(wǎng)內(nèi)部數(shù)據(jù)包和流的分析中顯示：基于IRC惡意控制命令的檢測算法的檢測效率能夠應(yīng)對千兆網(wǎng)環(huán)境下的包數(shù)據(jù)量，并準(zhǔn)確檢測隱匿在校園網(wǎng)中的僵尸樣本并根據(jù)控制命令的不同準(zhǔn)確區(qū)分；在基于控制流相似性的P2P僵尸檢測算法中，剩余熵的粗提取算法能夠濾除99.8％以上的無關(guān)流量，序列假設(shè)檢驗?zāi)軌蛟诜植嘉粗那闆r下準(zhǔn)確