基于聚類(lèi)分析的IRC僵尸網(wǎng)絡(luò)檢測(cè)系統(tǒng)研究及實(shí)現(xiàn).pdf

1、僵尸網(wǎng)絡(luò)是一種由黑客控制的,包含若干臺(tái)受到僵尸病毒程序感染的計(jì)算機(jī)的網(wǎng)絡(luò)系統(tǒng)。黑客通過(guò)在網(wǎng)絡(luò)中傳播僵尸病毒程序,將大量的正常計(jì)算機(jī)變成自己的僵尸計(jì)算機(jī)并實(shí)現(xiàn)遠(yuǎn)程控制,從而實(shí)現(xiàn)向互聯(lián)網(wǎng)中的目標(biāo)計(jì)算機(jī)和服務(wù)器發(fā)起大規(guī)模的DDoS攻擊、發(fā)送垃圾郵件、盜取隱私機(jī)密或者感染更多的計(jì)算機(jī)等非法目的,危害巨大。
　　在種類(lèi)繁多的僵尸網(wǎng)絡(luò)中,基于互聯(lián)網(wǎng)中繼聊天IRC(Internet Relay Chat)協(xié)議的僵尸網(wǎng)絡(luò)危害性尤其大。IRC僵尸網(wǎng)

2、絡(luò)的特點(diǎn)是黑客與僵尸計(jì)算機(jī)之間基于IRC協(xié)議進(jìn)行通信和發(fā)送控制指令,IRC服務(wù)器是網(wǎng)絡(luò)的中心節(jié)點(diǎn)。當(dāng)前的IRC僵尸網(wǎng)絡(luò)檢測(cè)方法,還主要是以特征碼的對(duì)比檢測(cè)以及基于流量的檢測(cè)等,存在實(shí)時(shí)性較差、分析未知樣本的難度較高等問(wèn)題,檢測(cè)準(zhǔn)確率不高。
　　針對(duì)上述問(wèn)題,本文以分析IRC僵尸計(jì)算機(jī)的昵稱(chēng)命名規(guī)律和異常通信行為特征為切入點(diǎn),主要完成了以下工作:
　　1、深入剖析了IRC僵尸網(wǎng)絡(luò)的原理和工作機(jī)制,通過(guò)對(duì)IRC僵尸病毒樣本的分析

3、,總結(jié)出IRC僵尸計(jì)算機(jī)在昵稱(chēng)的字符串長(zhǎng)度、字母、數(shù)字、符號(hào)個(gè)數(shù)和網(wǎng)絡(luò)中的IRC協(xié)議數(shù)據(jù)包總量、總字節(jié)數(shù)、使用的端口數(shù)等方面的規(guī)律;
　　2、在聚類(lèi)分析技術(shù)中的馬氏距離及歐氏距離算法的基礎(chǔ)上,結(jié)合文中分析出的IRC僵尸計(jì)算機(jī)昵稱(chēng)特征規(guī)律和異常行為特征規(guī)律,提出了兩種新的算法,同時(shí)明確了通過(guò)兩種算法分別檢測(cè)、共同命中的檢測(cè)方案,從而實(shí)現(xiàn)有效提升檢測(cè)的準(zhǔn)確率以及降低誤報(bào)率的目的;
　　3、設(shè)計(jì)出基于新算法的且具有良好普適性的IR