基于SMTP協(xié)議分析的僵尸網(wǎng)絡(luò)檢測技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)是攻擊者采用一種或多種傳播手段，使大量主機感染僵尸程序，在控制者和被感染主機之間形成的一個一對多的控制網(wǎng)絡(luò)。其可用來實施網(wǎng)絡(luò)信息竊取，分布式拒絕服務(wù)攻擊、點擊欺詐、網(wǎng)絡(luò)仿冒、發(fā)送垃圾電子郵件等目的。
　　 僵尸網(wǎng)絡(luò)的核心是命令與控制機制。這也是其與其它已知各類惡意代碼的關(guān)鍵區(qū)別?；诳刂萍夹g(shù)，攻擊者能夠協(xié)調(diào)成千上萬的計算機發(fā)動大規(guī)模災(zāi)難性的攻擊。隨著控制技術(shù)的發(fā)展，僵尸網(wǎng)絡(luò)從以往基于IRC協(xié)議逐漸轉(zhuǎn)移到基于HTTP協(xié)議和

2、各種不同類型的P2P協(xié)議，隱蔽性和健壯性得到了很大程度的增強。在傳播技術(shù)上，僵尸網(wǎng)絡(luò)借鑒并融合了各類惡意代碼的傳播方式，包括使用通訊軟件和P2P文件共享軟件進行傳播，并通過認證和信道加密機制對僵尸程序進行多態(tài)化和變形混淆，使得僵尸的傳播活動更加廣泛和隱蔽。
　　 SPAM BOTNET(Sbotnet)是以發(fā)送垃圾郵件為主要功能的僵尸網(wǎng)絡(luò)?；趯鴥?nèi)外研究現(xiàn)狀的分析和實驗環(huán)境下對Sbotnet活動的監(jiān)測，提出了一種新的檢測Sbo

3、t的方法，并實現(xiàn)了該方法的原型系統(tǒng)，同時在檢測的基礎(chǔ)上對Sbotnet的活動規(guī)模進行測量。
　　 通過對僵尸網(wǎng)絡(luò)的結(jié)構(gòu)，功能以及命令與控制機制的詳細分析，對基于不同命令與控制機制的僵尸網(wǎng)絡(luò)的特點進行剖析，對目前僵尸網(wǎng)絡(luò)檢測技術(shù)以及各個技術(shù)的特點進行分析的基礎(chǔ)上，認為相對于一般的僵尸網(wǎng)絡(luò)，Sbotnet的網(wǎng)絡(luò)活動一個最明顯的特征是使用SMTP協(xié)議發(fā)送大量的垃圾郵件。根據(jù)該特性，提出了基于SMTP協(xié)議分析的Sbotnet檢測技術(shù)。同