基于流量特征的IRC僵尸網(wǎng)絡(luò)檢測技術(shù)研究.pdf

1、計算機(jī)網(wǎng)絡(luò)在全球范圍內(nèi)迅速普及同時，也帶來了很多安全方面的問題，近年來，僵尸網(wǎng)絡(luò)作為一種新型的攻擊方式正在互聯(lián)網(wǎng)中迅速蔓延，給互聯(lián)網(wǎng)的安全造成了嚴(yán)重的威脅以及巨大的損失，對中國大陸造成的危害尤為嚴(yán)重，因而急需一種針對僵尸網(wǎng)絡(luò)的準(zhǔn)確高效的檢測技術(shù)。
　　目前互聯(lián)網(wǎng)上比較流行的僵尸網(wǎng)絡(luò)大多是基于IRC協(xié)議，所以本論文主要研究對象就是基于IRC協(xié)議的僵尸網(wǎng)絡(luò)。僵尸網(wǎng)絡(luò)檢測所使用的主要研究方法大概分為三種，分別為設(shè)置蜜網(wǎng)蜜罐獲得僵尸網(wǎng)絡(luò)屬

2、性的檢測方法、基于行為特征的檢測方法以及基于流量特征的檢測方法。基于流量特征的檢測相對來講沒有前兩種檢測技術(shù)成熟，存在誤報率較高的問題。
　　本文深入研究了IRC協(xié)議以及基于IRC協(xié)議的僵尸網(wǎng)絡(luò)的基本特征。首先，將原始流量數(shù)據(jù)包通過了過濾和分類等一系列的預(yù)處理階段，得到了可用于檢測的高質(zhì)量的數(shù)據(jù)集。其次針對IRC協(xié)議僵尸網(wǎng)絡(luò)的行為及流量進(jìn)行了大量實驗，通過對結(jié)果的統(tǒng)計分析，得到了如IRC命令比例、平均數(shù)據(jù)包大小和協(xié)同攻擊時間等重要