蠕蟲型僵尸工具的傳播模型及檢測技術研究.pdf

1、分布式拒絕服務(DDoS)攻擊已經給互聯(lián)網帶來了極大的危害，僵尸網絡(Botnet)作為攻擊者選擇的最主要工具，是反擊分布式拒絕服務攻擊的首要目標。由于僵尸網絡不是個體病毒的感染發(fā)作，而是一個或多個攻擊性網絡的建立，以及在特定時間內對特定對象的群體式攻擊，因此僵尸網絡的建立過程尤其值得研究和關注。僵尸網絡的建立依賴于僵尸工具的傳播，若不考慮攻擊節(jié)點向控制中心的注冊及雙方的交互過程，可將僵尸工具的傳播過程看作僵尸網絡的組網過程。而對僵尸工

2、具的檢測是阻礙僵尸網絡進一步發(fā)展和破壞現(xiàn)有僵尸網絡的手段之一。因此以僵尸工具的傳播和檢測作為研究僵尸網絡的切入點，是僵尸網絡研究中很必要的一個課題。 本文以IRC(InternetRelayChat)僵尸網絡為研究背景，針對其即時聊天工具組成的網絡特點，選取其中以蠕蟲方式傳播的僵尸工具作為研究的切入點，主要完成了以下三個方面的工作。 第一，建立了基于無尺度網絡拓撲的蠕蟲型僵尸工具傳播模型。本文通過對蠕蟲型僵尸工具的特征和

3、僵尸網絡的復雜性網絡拓撲的研究，認為無尺度網絡是最適合描述由蠕蟲型僵尸工具感染而形成的IRC僵尸網絡的網絡模型。在此模型下，改進了當前建立在完全連接網絡模型下的蠕蟲型僵尸工具的傳播模型，重點考慮了集散節(jié)點對于僵尸工具傳播的影響，提出了無尺度網絡下的雙因素傳播模型。仿真分析表明，本文所提出的模型在初始傳播的延遲性上處理較好，并且移除曲線更加平緩，更接近于實際觀測曲線，取得了較好的模擬效果。 第二，提出了分段處理的概率字符串匹配算法

4、。傳統(tǒng)的模式匹配算法是解決兩個字符串之間的相似性問題，而對于一些被噪聲影響的攻擊信息或利用會話拼接、信息分散等技術的攻擊手段卻無能為力。本文提出的分段處理的概率字符串匹配算法，將問題轉化成求模式串中至少有1/p的字符順序地出現(xiàn)在文本串中，可有效地解決上述傳統(tǒng)模式匹配算法的缺陷。該算法是基于基本動態(tài)規(guī)劃概率匹配算法的改進，兼具概率匹配算法和正則匹配的特點，可實現(xiàn)在線匹配，使漏報率更低。其最好情況下的復雜度為O(㎡/logm)，最壞情況下也