基于行為特征的IRC僵尸網(wǎng)絡(luò)檢測(cè)方法研究.pdf

1、僵尸網(wǎng)絡(luò)是在網(wǎng)絡(luò)蠕蟲(chóng)、特洛伊木馬、后門(mén)工具等傳統(tǒng)惡意代碼形態(tài)的基礎(chǔ)上發(fā)展、融合而產(chǎn)生的一種新型攻擊方式。通過(guò)僵尸網(wǎng)絡(luò)可以發(fā)送垃圾郵件、竊取個(gè)人信息、發(fā)動(dòng)拒絕服務(wù)攻擊等，是目前國(guó)際網(wǎng)絡(luò)安全領(lǐng)域最為關(guān)注的威脅之一。
　　本文首先介紹了僵尸網(wǎng)絡(luò)的定義和相關(guān)概念，研究僵尸網(wǎng)絡(luò)工作原理和生命周期，重點(diǎn)剖析了不同協(xié)議類別僵尸網(wǎng)絡(luò)的命令與控制機(jī)制，闡述了基于時(shí)區(qū)的僵尸網(wǎng)絡(luò)傳播模型，并對(duì)僵尸網(wǎng)絡(luò)跟蹤、檢測(cè)和防御研究領(lǐng)域的方法進(jìn)行總結(jié)。
　　

2、在此基礎(chǔ)上深入研究IRC僵尸網(wǎng)絡(luò)運(yùn)行機(jī)制，分析僵尸程序與控制服務(wù)器交互的網(wǎng)絡(luò)行為特征，提出了針對(duì)IRC僵尸網(wǎng)絡(luò)形成初期的檢測(cè)方法：昵稱檢測(cè)、控制命令檢測(cè)和命令序列相似性檢測(cè)。昵稱檢測(cè)通過(guò)分值計(jì)算、多正則式匹配和頻道昵稱距離檢測(cè)僵尸主機(jī)?？刂泼顧z測(cè)采用AC多模匹配增效算法查找僵尸網(wǎng)絡(luò)命令關(guān)鍵字。命令序列相似性檢測(cè)依據(jù)同頻道聊天主機(jī)發(fā)送命令內(nèi)容相似度來(lái)發(fā)現(xiàn)僵尸網(wǎng)絡(luò)。三種檢測(cè)方法面向登錄過(guò)程不同階段，檢測(cè)結(jié)果互補(bǔ)，提高了僵尸網(wǎng)絡(luò)檢測(cè)率。最后