基于數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、僵尸網(wǎng)絡(luò)已經(jīng)成為當(dāng)今互聯(lián)網(wǎng)上最主要的網(wǎng)絡(luò)攻擊平臺(tái)，可進(jìn)行分布式拒絕服務(wù)攻擊、發(fā)送垃圾郵件、釣魚(yú)、信息竊取等惡意網(wǎng)絡(luò)行為。隨著僵尸網(wǎng)絡(luò)的興起，研究僵尸網(wǎng)絡(luò)的檢測(cè)技術(shù)成為必然。
　　當(dāng)前主要包括四種僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)：基于特征的檢測(cè)技術(shù)，基于數(shù)據(jù)流的檢測(cè)技術(shù)，基于蜜罐的檢測(cè)技術(shù)以及基于DNS的檢測(cè)技術(shù)?；谔卣鞯臋z測(cè)技術(shù)通常要等到僵尸網(wǎng)絡(luò)爆發(fā)之后提取特征，具有滯后性；基于數(shù)據(jù)流的檢測(cè)技術(shù)能更好的挖掘僵尸網(wǎng)絡(luò)本質(zhì)，但是誤報(bào)率與漏報(bào)率都較高

2、，很難在實(shí)際中部署；蜜罐技術(shù)是使用最廣泛的檢測(cè)技術(shù)，然而只有等到僵尸樣本被捕獲后才能分析，缺乏主動(dòng)性；而基于DNS的檢測(cè)技術(shù)往往受到ISP管理約束，不具備通用性。
　　本文通過(guò)對(duì)以上檢測(cè)技術(shù)的分析，認(rèn)為流檢測(cè)技術(shù)在檢測(cè)多個(gè)僵尸程序和實(shí)時(shí)性上具有一定優(yōu)勢(shì)，從而提出了一種基于數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測(cè)模型，該模型首先對(duì)僵尸網(wǎng)絡(luò)流量特性進(jìn)行分類，而后計(jì)算網(wǎng)絡(luò)中惡意活動(dòng)活躍度，最后對(duì)兩者進(jìn)行交叉關(guān)聯(lián)分析得到僵尸主機(jī)的IP地址。
　　該系統(tǒng)

3、分為五個(gè)部分：通信監(jiān)測(cè)平臺(tái)、活動(dòng)監(jiān)測(cè)平臺(tái)、通信聚集模塊、活動(dòng)聚集模塊、交叉關(guān)聯(lián)模塊。通信監(jiān)測(cè)平臺(tái)通過(guò)在網(wǎng)關(guān)上獲取網(wǎng)絡(luò)內(nèi)的流數(shù)據(jù)，并將其格式化后寫入日志?；顒?dòng)監(jiān)測(cè)平臺(tái)負(fù)責(zé)檢測(cè)可疑的活動(dòng)，例如掃描、垃圾郵件、漏洞利用、二進(jìn)制下載等等。通信聚類模塊和活動(dòng)聚類模塊根據(jù)監(jiān)測(cè)平臺(tái)產(chǎn)生的日志文件分別進(jìn)行各自的聚類過(guò)程。交叉關(guān)聯(lián)模塊將兩個(gè)聚類結(jié)果合并，找出同一個(gè)僵尸網(wǎng)絡(luò)中的可能成員主機(jī)。
　　最后本文在局域網(wǎng)里搭建了一個(gè)小型的僵尸網(wǎng)絡(luò)，模擬了端口