基于網(wǎng)絡(luò)流量分析的僵尸網(wǎng)絡(luò)在線檢測技術(shù)的研究.pdf

1、隨著互聯(lián)網(wǎng)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個潛在的巨大問題。過去幾年中，僵尸網(wǎng)絡(luò)是互聯(lián)網(wǎng)上發(fā)起攻擊最常用的手段，已成為網(wǎng)絡(luò)安全專業(yè)人員所面臨的最大難題之一。僵尸網(wǎng)絡(luò)的主要惡意攻擊技術(shù)和傳播手段已經(jīng)相對比較完善，新出現(xiàn)的僵尸程序可以在此基礎(chǔ)上，不斷加入新的攻擊技術(shù)和傳播手段。當(dāng)前，僵尸網(wǎng)絡(luò)已經(jīng)逐漸發(fā)展為規(guī)模龐大、功能復(fù)雜、傳播廣泛的惡意網(wǎng)絡(luò)，成為互聯(lián)網(wǎng)最為嚴(yán)重的網(wǎng)絡(luò)威脅之一。
　　當(dāng)前國內(nèi)外的研究工作在僵尸網(wǎng)絡(luò)檢測方面已經(jīng)有很多成果，

2、但還不能夠滿足僵尸網(wǎng)絡(luò)泛濫成災(zāi)、快速發(fā)展的現(xiàn)狀。目前僵尸網(wǎng)絡(luò)檢測技術(shù)大多集中在針對歷史數(shù)據(jù)的離線檢測上，沒有考慮檢測的效率問題。同時，現(xiàn)有技術(shù)大都針對集中式結(jié)構(gòu)的IRC(Internet Relay Chat)僵尸網(wǎng)絡(luò)，沒有考慮P2P僵尸網(wǎng)絡(luò)檢測問題。并且，可以適用于各種類型僵尸網(wǎng)絡(luò)的通用在線檢測技術(shù)還沒有出現(xiàn)。針對以上情況，本文對僵尸網(wǎng)絡(luò)在線檢測技術(shù)進(jìn)行了深入研究，主要研究針對IRC以及P2P僵尸網(wǎng)絡(luò)的在線檢測技術(shù)，除了保證僵尸網(wǎng)絡(luò)的

3、檢測精度，更加專注于檢測的效率問題。同時，針對各種類型的僵尸網(wǎng)絡(luò)提出通用的在線檢測策略。
　　本文對僵尸網(wǎng)絡(luò)在線檢測的關(guān)鍵技術(shù)進(jìn)行了深入研究，主要研究內(nèi)容包括如下幾個方面:
　　(1)提出網(wǎng)絡(luò)流量數(shù)據(jù)流模型的構(gòu)建方法。根據(jù)僵尸網(wǎng)絡(luò)在線檢測的需求，將網(wǎng)絡(luò)流量數(shù)據(jù)抽象為數(shù)據(jù)流模型;并根據(jù)檢測的不同需求，利用網(wǎng)絡(luò)流量數(shù)據(jù)的不同特征構(gòu)建不同類型的數(shù)據(jù)流。
　　(2)提出基于高相似性搜索的IRC僵尸網(wǎng)絡(luò)在線檢測技術(shù)。首先將網(wǎng)絡(luò)流

4、量數(shù)據(jù)轉(zhuǎn)換為特征數(shù)據(jù)流，利用增量式離散傅立葉變換技術(shù)，搜索特征流之間的高相似性，作為僵尸流量存在的依據(jù)，最后通過拓?fù)浞治鰳?gòu)建IRC僵尸網(wǎng)絡(luò)結(jié)構(gòu)。
　　(3)提出基于周期性分析和相似性分析的P2P僵尸網(wǎng)絡(luò)在線檢測技術(shù)。首先將網(wǎng)絡(luò)流量數(shù)據(jù)轉(zhuǎn)換為通信流，利用布爾自相關(guān)技術(shù)快速搜索通信流的周期性模式，利用增量聚類技術(shù)搜索多個通信流的高相似性，實現(xiàn)可疑P2P僵尸主機的在線檢測。通過現(xiàn)有的入侵檢測系統(tǒng)對其進(jìn)行重點跟蹤，如果發(fā)現(xiàn)該主機具有惡意行

5、為特征，則可確認(rèn)P2P僵尸主機身份。
　　(4)提出基于主機行為異常的P2P僵尸網(wǎng)絡(luò)在線檢測技術(shù)。首先構(gòu)建主機行為流模型，并抽象出主機行為流的典型行為特征，然后利用統(tǒng)計學(xué)中的假設(shè)檢驗技術(shù)，確定主機的異常行為，作為可疑P2P僵尸主機存在的依據(jù)。采用一種預(yù)處理策略，利用信息熵技術(shù)確定網(wǎng)絡(luò)流量中的異常點。當(dāng)不存在異常點時，不啟動檢測引擎，過濾掉大量的正常網(wǎng)絡(luò)流量。通過該策略，可以大大降低系統(tǒng)的開銷，從而滿足在線檢測的效率問題。
　

6、　(5)提出獨立于協(xié)議類型的僵尸網(wǎng)絡(luò)在線檢測技術(shù)。首先采用增量式分類技術(shù)實現(xiàn)網(wǎng)絡(luò)流量數(shù)據(jù)的群組劃分，識別出不同僵尸協(xié)議類型的網(wǎng)絡(luò)流量，分類過程對決策規(guī)則進(jìn)行修正，從而保證后期檢測的精度要求。然后利用動態(tài)聚類技術(shù)實現(xiàn)可疑僵尸主機的通用檢測，聚類過程可以進(jìn)行自適應(yīng)調(diào)整，避免了復(fù)雜的重復(fù)聚類操作，大大降低了計算開銷，可以從海量網(wǎng)絡(luò)流量數(shù)據(jù)中快速檢測各種類型的可疑僵尸主機。
　　總之，本文研究了基于網(wǎng)絡(luò)流量分析的僵尸網(wǎng)絡(luò)在線檢測技術(shù)。實驗