僵尸網(wǎng)絡(luò)對(duì)抗技術(shù)研究.pdf

1、隨著Internet的飛速發(fā)展，計(jì)算機(jī)和互聯(lián)網(wǎng)已經(jīng)成為人們?nèi)粘Ｉ钪胁豢苫蛉钡脑?，然而互?lián)網(wǎng)面臨著大量的安全威脅，僵尸網(wǎng)絡(luò)正是最嚴(yán)重的威脅之一。僵尸網(wǎng)絡(luò)是攻擊者利用互聯(lián)網(wǎng)秘密建立的可以集中控制的計(jì)算機(jī)群，它不是一個(gè)特指的安全事件，而是攻擊者手中的一個(gè)平臺(tái)，利用該平臺(tái)，攻擊者可以實(shí)現(xiàn)覆蓋面更廣，力度更高，更難于防范的攻擊。僵尸網(wǎng)絡(luò)的高度活躍引起多方重視，目前針對(duì)僵尸網(wǎng)絡(luò)的研究工作主要有五個(gè)方面，分別是檢測(cè)、測(cè)量、追蹤、主動(dòng)防御和體系結(jié)構(gòu)

2、研究，其中檢測(cè)是測(cè)量、追蹤和主動(dòng)防御的基礎(chǔ)，體系結(jié)構(gòu)研究是防治未來可能的僵尸網(wǎng)絡(luò)的前導(dǎo)。檢測(cè)、測(cè)量和追蹤工作的一個(gè)強(qiáng)力支持為蜜罐蜜網(wǎng)技術(shù)，于是雖然蜜罐技術(shù)研究不屬于僵尸網(wǎng)絡(luò)的研究方向，但它為僵尸網(wǎng)絡(luò)研究奠定基礎(chǔ)。本文圍繞著僵尸網(wǎng)絡(luò)的研究方向，針對(duì)僵尸網(wǎng)絡(luò)對(duì)抗技術(shù)進(jìn)行深入研究，主要內(nèi)容如下：
　　給出僵尸網(wǎng)絡(luò)的定義、屬性、演化脈絡(luò)及危害分析。對(duì)僵尸網(wǎng)絡(luò)五個(gè)研究方向的工作進(jìn)行綜述，進(jìn)一步明確本文的研究?jī)?nèi)容及目標(biāo)。
　　研究面向僵

3、尸程序樣本捕獲的分布式蜜罐部署模型。僵尸程序樣本分析可以為僵尸網(wǎng)絡(luò)研究的各個(gè)方向提供強(qiáng)有力的支持，于是樣本捕獲是僵尸網(wǎng)絡(luò)研究的基礎(chǔ)。目前針對(duì)僵尸程序樣本捕獲的研究工作主要集中在蜜罐的設(shè)計(jì)、實(shí)現(xiàn)和應(yīng)用，然而蜜罐部署策略研究能夠提高部署效率、降低部署成本，有重要的實(shí)際意義。本文提出的模型闡述了僵尸程序樣本分析需求、僵尸程序傳播屬性、檢測(cè)時(shí)間、檢測(cè)概率與蜜罐部署參數(shù)之間的關(guān)系。在模型分析的基礎(chǔ)上，提出蜜罐部署閾值和網(wǎng)絡(luò)距離兩個(gè)參數(shù)，這兩個(gè)參數(shù)

4、分別刻畫了蜜罐部署個(gè)數(shù)和蜜罐部署位置的最優(yōu)選擇，能夠?yàn)閷?shí)際構(gòu)建分布式蜜罐系統(tǒng)提供理論依據(jù)，旨在達(dá)到經(jīng)濟(jì)與效益的平衡。
　　研究IRC僵尸網(wǎng)絡(luò)檢測(cè)算法。檢測(cè)技術(shù)研究是僵尸網(wǎng)絡(luò)對(duì)抗的重點(diǎn)，目前已有的IRC僵尸網(wǎng)絡(luò)檢測(cè)算法存在兩個(gè)問題：需要先驗(yàn)知識(shí)以獲取匹配模式，無法滿足實(shí)時(shí)處理需求。為解決這兩個(gè)問題，本文提出了基于昵稱相似性和命令序列相似性這兩個(gè)終端行為特征的IRC僵尸網(wǎng)絡(luò)檢測(cè)算法。文中提出三個(gè)屬性分別從內(nèi)容、組成和結(jié)構(gòu)三方面互補(bǔ)的刻

5、畫兩個(gè)昵稱的相似性，給出了兩個(gè)昵稱相似性的量化因子，根據(jù)這量化因子生成彈性TRW算法以進(jìn)行IRC僵尸網(wǎng)絡(luò)實(shí)時(shí)檢測(cè)。在分析僵尸終端登錄服務(wù)器的行為的基礎(chǔ)上，本文還提出了基于命令序列相似性的檢測(cè)輔助算法。
　　研究可重構(gòu)的僵尸網(wǎng)絡(luò)體系結(jié)構(gòu)。僵尸網(wǎng)絡(luò)體系結(jié)構(gòu)研究是僵尸網(wǎng)絡(luò)對(duì)抗的另一方法，可以使安全研究人員提早預(yù)防未來可能出現(xiàn)的僵尸網(wǎng)絡(luò)。僵尸網(wǎng)絡(luò)命令控制信道是僵尸網(wǎng)絡(luò)的核心，以健壯性為其設(shè)計(jì)目標(biāo)。目前已有的命令控制結(jié)構(gòu)大多具備二級(jí)健壯性，

6、本文研究一個(gè)具備三級(jí)健壯性的可重構(gòu)僵尸網(wǎng)絡(luò)的體系結(jié)構(gòu)。該僵尸網(wǎng)絡(luò)具備兩個(gè)命令控制信道，采用Sniffer方式獲取命令，采用TOR Hidden Service保護(hù)關(guān)鍵節(jié)點(diǎn)，當(dāng)通信C&C失效時(shí)，使用重構(gòu)C&C對(duì)僵尸網(wǎng)絡(luò)進(jìn)行重建。本文在分析其體系結(jié)構(gòu)的同時(shí)，研究其弱點(diǎn)，擴(kuò)展僵尸網(wǎng)絡(luò)生命周期，給出三種對(duì)抗可重構(gòu)僵尸網(wǎng)絡(luò)的方法。
　　在已完成工作的基礎(chǔ)上，設(shè)計(jì)并實(shí)現(xiàn)大規(guī)模網(wǎng)絡(luò)環(huán)境下僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)。該系統(tǒng)以高性能網(wǎng)絡(luò)捕包平臺(tái)為基礎(chǔ)，以蜜猴