基于網(wǎng)絡(luò)流量分析的僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)的研究.pdf

1、隨著互聯(lián)網(wǎng)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個(gè)潛在的巨大問題。過去幾年中，僵尸網(wǎng)絡(luò)是互聯(lián)網(wǎng)上發(fā)起攻擊最常用的手段，已成為網(wǎng)絡(luò)安全專業(yè)人員所面臨的最大難題之一。僵尸網(wǎng)絡(luò)的主要惡意攻擊技術(shù)和傳播手段已經(jīng)相對(duì)比較完善，新出現(xiàn)的僵尸程序可以在此基礎(chǔ)上，不斷加入新的攻擊技術(shù)和傳播手段。當(dāng)前，僵尸網(wǎng)絡(luò)已經(jīng)逐漸發(fā)展為規(guī)模龐大、功能復(fù)雜、傳播廣泛的惡意網(wǎng)絡(luò)，成為互聯(lián)網(wǎng)最為嚴(yán)重的網(wǎng)絡(luò)威脅之一。
　　當(dāng)前國(guó)內(nèi)外的研究工作在僵尸網(wǎng)絡(luò)檢測(cè)方面已經(jīng)有很多成果，

2、但還不能夠滿足僵尸網(wǎng)絡(luò)泛濫成災(zāi)、快速發(fā)展的現(xiàn)狀。目前僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)大多集中在針對(duì)歷史數(shù)據(jù)的離線檢測(cè)上，沒有考慮檢測(cè)的效率問題。同時(shí)，現(xiàn)有技術(shù)大都針對(duì)集中式結(jié)構(gòu)的IRC(Internet Relay Chat)僵尸網(wǎng)絡(luò)，沒有考慮P2P僵尸網(wǎng)絡(luò)檢測(cè)問題。并且，可以適用于各種類型僵尸網(wǎng)絡(luò)的通用在線檢測(cè)技術(shù)還沒有出現(xiàn)。針對(duì)以上情況，本文對(duì)僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)進(jìn)行了深入研究，主要研究針對(duì)IRC以及P2P僵尸網(wǎng)絡(luò)的在線檢測(cè)技術(shù)，除了保證僵尸網(wǎng)絡(luò)的

3、檢測(cè)精度，更加專注于檢測(cè)的效率問題。同時(shí)，針對(duì)各種類型的僵尸網(wǎng)絡(luò)提出通用的在線檢測(cè)策略。
　　本文對(duì)僵尸網(wǎng)絡(luò)在線檢測(cè)的關(guān)鍵技術(shù)進(jìn)行了深入研究，主要研究?jī)?nèi)容包括如下幾個(gè)方面:
　　(1)提出網(wǎng)絡(luò)流量數(shù)據(jù)流模型的構(gòu)建方法。根據(jù)僵尸網(wǎng)絡(luò)在線檢測(cè)的需求，將網(wǎng)絡(luò)流量數(shù)據(jù)抽象為數(shù)據(jù)流模型;并根據(jù)檢測(cè)的不同需求，利用網(wǎng)絡(luò)流量數(shù)據(jù)的不同特征構(gòu)建不同類型的數(shù)據(jù)流。
　　(2)提出基于高相似性搜索的IRC僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)。首先將網(wǎng)絡(luò)流

4、量數(shù)據(jù)轉(zhuǎn)換為特征數(shù)據(jù)流，利用增量式離散傅立葉變換技術(shù)，搜索特征流之間的高相似性，作為僵尸流量存在的依據(jù)，最后通過拓?fù)浞治鰳?gòu)建IRC僵尸網(wǎng)絡(luò)結(jié)構(gòu)。
　　(3)提出基于周期性分析和相似性分析的P2P僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)。首先將網(wǎng)絡(luò)流量數(shù)據(jù)轉(zhuǎn)換為通信流，利用布爾自相關(guān)技術(shù)快速搜索通信流的周期性模式，利用增量聚類技術(shù)搜索多個(gè)通信流的高相似性，實(shí)現(xiàn)可疑P2P僵尸主機(jī)的在線檢測(cè)。通過現(xiàn)有的入侵檢測(cè)系統(tǒng)對(duì)其進(jìn)行重點(diǎn)跟蹤，如果發(fā)現(xiàn)該主機(jī)具有惡意行

5、為特征，則可確認(rèn)P2P僵尸主機(jī)身份。
　　(4)提出基于主機(jī)行為異常的P2P僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)。首先構(gòu)建主機(jī)行為流模型，并抽象出主機(jī)行為流的典型行為特征，然后利用統(tǒng)計(jì)學(xué)中的假設(shè)檢驗(yàn)技術(shù)，確定主機(jī)的異常行為，作為可疑P2P僵尸主機(jī)存在的依據(jù)。采用一種預(yù)處理策略，利用信息熵技術(shù)確定網(wǎng)絡(luò)流量中的異常點(diǎn)。當(dāng)不存在異常點(diǎn)時(shí)，不啟動(dòng)檢測(cè)引擎，過濾掉大量的正常網(wǎng)絡(luò)流量。通過該策略，可以大大降低系統(tǒng)的開銷，從而滿足在線檢測(cè)的效率問題。
　

6、　(5)提出獨(dú)立于協(xié)議類型的僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)。首先采用增量式分類技術(shù)實(shí)現(xiàn)網(wǎng)絡(luò)流量數(shù)據(jù)的群組劃分，識(shí)別出不同僵尸協(xié)議類型的網(wǎng)絡(luò)流量，分類過程對(duì)決策規(guī)則進(jìn)行修正，從而保證后期檢測(cè)的精度要求。然后利用動(dòng)態(tài)聚類技術(shù)實(shí)現(xiàn)可疑僵尸主機(jī)的通用檢測(cè)，聚類過程可以進(jìn)行自適應(yīng)調(diào)整，避免了復(fù)雜的重復(fù)聚類操作，大大降低了計(jì)算開銷，可以從海量網(wǎng)絡(luò)流量數(shù)據(jù)中快速檢測(cè)各種類型的可疑僵尸主機(jī)。
　　總之，本文研究了基于網(wǎng)絡(luò)流量分析的僵尸網(wǎng)絡(luò)在線檢測(cè)技術(shù)。實(shí)驗(yàn)