基于行為分析的僵尸網(wǎng)絡(luò)檢測研究.pdf

1、伴隨著互聯(lián)網(wǎng)的迅速發(fā)展，安全問題日益嚴(yán)重，成為人們關(guān)注焦點(diǎn)之一。網(wǎng)絡(luò)安全威脅已不再只是傳統(tǒng)的木馬和病毒等惡意軟件，僵尸網(wǎng)絡(luò)漸漸成為網(wǎng)絡(luò)安全的主要威脅。由于僵尸程序的傳播和控制能力越來越強(qiáng)，僵尸網(wǎng)絡(luò)可以實(shí)施大規(guī)模的信息竊取，分布式拒絕服務(wù)攻擊，垃圾郵件發(fā)送等攻擊活動(dòng)，成為大規(guī)模且具備強(qiáng)大控制力的網(wǎng)絡(luò)攻擊平臺(tái)。
　　 針對僵尸網(wǎng)絡(luò)的檢測，本文基于僵尸網(wǎng)絡(luò)的異常行為分析，著重探討具有更好普適性的僵尸間信息通信的行為特征分析。通過建立僵

2、尸的異常行為特征模型，達(dá)到區(qū)分網(wǎng)絡(luò)正常用戶和僵尸的目標(biāo)。在相似度分析中，針對不同的特征向量模型，分別使用歐氏距離和馬氏距離來計(jì)算僵尸行為的相似性，并利用計(jì)算出的距離系數(shù)來進(jìn)行相似度的對比。文中給出了具體的數(shù)學(xué)理論分析，對相關(guān)算法進(jìn)行了描述，并對算法性能進(jìn)行了分析。
　　 為驗(yàn)證文中檢測算法的有效性，通過在實(shí)驗(yàn)室搭建一個(gè)實(shí)際的僵尸網(wǎng)絡(luò)來進(jìn)行實(shí)驗(yàn)。選取了當(dāng)前變種最多，危害最為廣泛的SDBot作為樣本僵尸程序，首先仔細(xì)分析了僵尸病毒程

3、序的源代碼，掌握了其中的各個(gè)功能模塊及感染執(zhí)行的活動(dòng)；然后，為保證實(shí)驗(yàn)環(huán)境安全性，對該僵尸源代碼進(jìn)行了適當(dāng)?shù)男薷?，剔除其中的攻擊?zhí)行模塊，并重新設(shè)計(jì)了面向?qū)嶒?yàn)環(huán)境的控制指令。
　　 最后，對獲得的實(shí)驗(yàn)數(shù)據(jù)進(jìn)行分析，結(jié)果顯示，基于歐氏距離的檢測方法適合于行為特征向量較低和取值均勻的情況，如基于呢稱的僵尸檢測；而基于馬氏距離的檢測方法除了能夠應(yīng)用在低維向量分析，更適合于高維向量和取值差異較大的特征分析，如基于通信行為特征的僵尸檢測。