IRC僵尸特征提取及高速匹配技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)是由攻擊者、命令與控制信道以及眾多被植入僵尸程序的主機(jī)所共同構(gòu)成的一個(gè)綜合性攻擊平臺(tái)。根據(jù)其命令與控制信道的結(jié)構(gòu)可分成不同種類,IRC(Internet Relay Chat,因特網(wǎng)中繼聊天)僵尸網(wǎng)絡(luò)便是其中分布最廣、威脅最大的一種。
　　針對(duì)IRC僵尸網(wǎng)絡(luò)在因特網(wǎng)上造成的巨大危害,從其攻擊過(guò)程和原理入手,提出了基于關(guān)鍵字的IRC僵尸檢測(cè)和基于控制會(huì)話穩(wěn)定性的IRC僵尸檢測(cè)兩種方法。兩種方法的第一步都需要從海量數(shù)據(jù)中鑒別出

2、IRC會(huì)話。之后,在基于關(guān)鍵字的IRC僵尸檢測(cè)方法中,使用高效的多模式匹配算法,通過(guò)對(duì)IRC會(huì)話中的惡意關(guān)鍵字進(jìn)行搜索與統(tǒng)計(jì),列出可疑受控主機(jī)與控制服務(wù)器的IP地址,統(tǒng)計(jì)關(guān)鍵字的詞頻等信息找出IRC僵尸的顯著特征并進(jìn)行告警;在基于控制會(huì)話穩(wěn)定性的IRC僵尸檢測(cè)方法中,通過(guò)樣本特征提取出IRC僵尸數(shù)據(jù)包包長(zhǎng)與數(shù)據(jù)包到達(dá)時(shí)間規(guī)律,從這兩個(gè)維度著手,對(duì)IRC會(huì)話進(jìn)行穩(wěn)定性判斷并生成特征向量,若待檢測(cè)的IRC會(huì)話與已確定的IRC僵尸特征向量相匹