高速網(wǎng)絡(luò)環(huán)境下的P2P僵尸網(wǎng)絡(luò)檢測方法研究.pdf

1、僵尸網(wǎng)絡(luò)(Botnet)已經(jīng)成為網(wǎng)絡(luò)安全的主要威脅之一。早期的僵尸網(wǎng)絡(luò)的通信協(xié)議主要采用IRC和 HTTP協(xié)議，具有單點失效的問題，容易被發(fā)現(xiàn)和摧毀。隨著P2P傳輸技術(shù)及僵尸網(wǎng)絡(luò)的發(fā)展，目前新型的僵尸網(wǎng)絡(luò)大多采用P2P技術(shù)構(gòu)建僵尸網(wǎng)絡(luò)命令和控制機制，形成具有分布式特點的僵尸網(wǎng)絡(luò)。P2P僵尸網(wǎng)絡(luò)不具有中心節(jié)點，相比其他類型的僵尸網(wǎng)絡(luò)更具有威脅性和難以檢測性。如何在實際網(wǎng)絡(luò)環(huán)境中對P2P僵尸網(wǎng)絡(luò)進行有效的檢測和反制，也成為了網(wǎng)絡(luò)安全領(lǐng)域討論

2、的熱點。
　　在現(xiàn)有檢測方法的基礎(chǔ)上，本文對P2P僵尸網(wǎng)絡(luò)結(jié)構(gòu)、C&C通信特征以及P2P協(xié)議流量特點進一步進行分析，提出了基于過濾機制的P2P協(xié)議流量識別方法和基于網(wǎng)絡(luò)會話特征的P2P僵尸網(wǎng)絡(luò)檢測方法。基于過濾機制的P2P協(xié)議流量識別方法是通過過濾已知非P2P協(xié)議流量的數(shù)據(jù)進而識別P2P協(xié)議流量。該方法能夠快速過濾掉絕大部分的非P2P協(xié)議流量。基于網(wǎng)絡(luò)會話特征的P2P僵尸網(wǎng)絡(luò)檢測方法在現(xiàn)有的基于數(shù)據(jù)流特征和基于流相似特征檢測方法的

3、基礎(chǔ)上，通過分析數(shù)據(jù)會話中的數(shù)據(jù)包以及數(shù)據(jù)包分布等特征，結(jié)合現(xiàn)有分類算法來對P2P僵尸網(wǎng)絡(luò)流量進行分類檢測。該方法基于網(wǎng)絡(luò)會話特征進行檢測不僅能夠有效減少數(shù)據(jù)流特征向量的個數(shù)還可以增加網(wǎng)絡(luò)數(shù)據(jù)流特征區(qū)分度。結(jié)合這兩種方法，該檢測方法能夠在高速網(wǎng)絡(luò)環(huán)境中對P2P僵尸網(wǎng)絡(luò)會話進行實時檢測。
　　然后，本文分析了高速網(wǎng)絡(luò)環(huán)境中流量特點以及在高速網(wǎng)絡(luò)中對P2P僵尸網(wǎng)絡(luò)流量檢測所面臨的困難，設(shè)計并實現(xiàn)了高速網(wǎng)絡(luò)環(huán)境下網(wǎng)絡(luò)流量檢測平臺并詳細闡