基于聚類分析的IRC僵尸網(wǎng)絡(luò)檢測系統(tǒng)研究及實現(xiàn).pdf

1、僵尸網(wǎng)絡(luò)是一種由黑客控制的,包含若干臺受到僵尸病毒程序感染的計算機的網(wǎng)絡(luò)系統(tǒng)。黑客通過在網(wǎng)絡(luò)中傳播僵尸病毒程序,將大量的正常計算機變成自己的僵尸計算機并實現(xiàn)遠程控制,從而實現(xiàn)向互聯(lián)網(wǎng)中的目標計算機和服務(wù)器發(fā)起大規(guī)模的DDoS攻擊、發(fā)送垃圾郵件、盜取隱私機密或者感染更多的計算機等非法目的,危害巨大。
　　在種類繁多的僵尸網(wǎng)絡(luò)中,基于互聯(lián)網(wǎng)中繼聊天IRC(Internet Relay Chat)協(xié)議的僵尸網(wǎng)絡(luò)危害性尤其大。IRC僵尸網(wǎng)

2、絡(luò)的特點是黑客與僵尸計算機之間基于IRC協(xié)議進行通信和發(fā)送控制指令,IRC服務(wù)器是網(wǎng)絡(luò)的中心節(jié)點。當(dāng)前的IRC僵尸網(wǎng)絡(luò)檢測方法,還主要是以特征碼的對比檢測以及基于流量的檢測等,存在實時性較差、分析未知樣本的難度較高等問題,檢測準確率不高。
　　針對上述問題,本文以分析IRC僵尸計算機的昵稱命名規(guī)律和異常通信行為特征為切入點,主要完成了以下工作:
　　1、深入剖析了IRC僵尸網(wǎng)絡(luò)的原理和工作機制,通過對IRC僵尸病毒樣本的分析

3、,總結(jié)出IRC僵尸計算機在昵稱的字符串長度、字母、數(shù)字、符號個數(shù)和網(wǎng)絡(luò)中的IRC協(xié)議數(shù)據(jù)包總量、總字節(jié)數(shù)、使用的端口數(shù)等方面的規(guī)律;
　　2、在聚類分析技術(shù)中的馬氏距離及歐氏距離算法的基礎(chǔ)上,結(jié)合文中分析出的IRC僵尸計算機昵稱特征規(guī)律和異常行為特征規(guī)律,提出了兩種新的算法,同時明確了通過兩種算法分別檢測、共同命中的檢測方案,從而實現(xiàn)有效提升檢測的準確率以及降低誤報率的目的;
　　3、設(shè)計出基于新算法的且具有良好普適性的IR