基于流量分析的僵尸網(wǎng)絡檢測技術(shù)研究與實現(xiàn).pdf

1、從采用IRC協(xié)議的“egg drop bot”到高度模塊化的AgoBot，僵尸程序從最初的網(wǎng)絡聊天室輔助軟件，逐漸成為威脅網(wǎng)絡安全的主流惡意軟件之一。在僵尸網(wǎng)絡的攻防博弈中，IRC協(xié)議被HTTP、P2P等協(xié)議取代，并利用fast-flux，Domain-flux，URL-flux等技術(shù)加強僵尸網(wǎng)絡通信的隱蔽性。同時，僵尸網(wǎng)絡也摒棄了傳統(tǒng)的中心式C&C（Command and Control）信道結(jié)構(gòu)，采用了更加靈活和健壯的分布式C&C信

2、道結(jié)構(gòu)。
　　異常分析、DNS流量檢測及流量聚類檢測等僵尸網(wǎng)絡檢測手段是當前較為常見的檢測手段。然而，這些檢測手段存在部署困難、難以應用于分布式僵尸網(wǎng)絡的檢測等缺點。為了有效的對分布式僵尸網(wǎng)絡進行檢測，論文對分布式僵尸網(wǎng)絡的生命周期、組成要素等重要特征進行了分析研究，發(fā)現(xiàn)分布式僵尸網(wǎng)絡中的節(jié)點之間的通信數(shù)據(jù)包具有時空相關(guān)性。而這種相關(guān)性可以采用流量分析技術(shù)進行檢測，論文將時空相關(guān)性這一檢測點與流量分析技術(shù)相結(jié)合，設計并實現(xiàn)了基于時

3、空相關(guān)性的僵尸網(wǎng)絡檢測系統(tǒng)，該檢測系統(tǒng)通過分析被檢測網(wǎng)絡中的通信流量，最終得出檢測結(jié)果。該檢測系統(tǒng)由數(shù)據(jù)包聚合模塊、時空相關(guān)關(guān)系獲取模塊及僵尸主機檢測模塊構(gòu)成。數(shù)據(jù)包聚合模塊首先抓取原始的網(wǎng)絡數(shù)據(jù)包，然后按照數(shù)據(jù)包之間的時空相關(guān)性將原始數(shù)據(jù)包進行聚合。時空相關(guān)關(guān)系獲取模塊負責對滿足時間間隔閾值和出現(xiàn)次數(shù)閾值的可信二層相關(guān)關(guān)系進行提取，然后在此基礎(chǔ)上，進行多層相關(guān)關(guān)系的獲取。僵尸網(wǎng)絡檢測模塊采用層次聚類算法，將小于距離閾值的主機節(jié)點聚合為