基于流量的僵尸網(wǎng)絡檢測方法研究.pdf

1、僵尸網(wǎng)絡是由攻擊者控制的計算機群，能夠執(zhí)行諸如分布式拒絕服務攻擊、垃圾郵件、釣魚網(wǎng)站、敏感信息竊取等多種惡意活動，已經(jīng)成為互聯(lián)網(wǎng)的嚴重威脅之一。因而如何有效檢測出僵尸網(wǎng)絡也成為了當前重要的研究課題。
　　目前僵尸網(wǎng)絡檢測主要通過分析網(wǎng)絡流量來完成。這類檢測方法取得了一些的研究成果，但也存在明顯的不足:單純利用僵尸主機行為相似性的方法容易出現(xiàn)誤判;通常需要黑名單才能完成檢測;依賴于僵尸主機的惡意攻擊行為;檢測效率較低等。本文針對現(xiàn)有

2、僵尸網(wǎng)絡檢測方法的上述問題，提出了四種新的僵尸網(wǎng)絡檢測方法。具體貢獻及創(chuàng)新如下:
　　(1)提出了基于流量相似性及穩(wěn)定性的僵尸網(wǎng)絡檢測方法。通常同一個僵尸網(wǎng)絡中的僵尸主機會運行相同的僵尸程序，其流量具有相似性及穩(wěn)定性?，F(xiàn)有方法僅利用流量相似性來檢測僵尸網(wǎng)絡，容易出現(xiàn)誤判等問題。本文提出了基于流量相似性和穩(wěn)定性相結合的檢測方法。該方法以聚合流為分析對象，首先對聚合流進行聚類并得出相似性分數(shù)，然后設計穩(wěn)定性測量算法計算單個聚合流的穩(wěn)定

3、性分數(shù)，最后根據(jù)相似性和穩(wěn)定性分數(shù)得出綜合分析結果。實驗結果表明該方法的檢測率比單純用穩(wěn)定性的方法高，誤報率比單純用相似性的方法低，檢測性能較好。
　　(2)提出了面向DNS流量的可視化僵尸網(wǎng)絡檢測方法。為了逃避檢測，僵尸網(wǎng)絡會采用動態(tài)域名技術。僵尸主機要頻繁地發(fā)起DNS查詢以獲取命令與控制服務器當前的IP地址，因而會產(chǎn)生大量DNS流量。針對現(xiàn)有利用DNS流量的檢測方法需要用黑名單等問題，本文提出了面向DNS流量的可視化僵尸網(wǎng)絡檢

4、測方法。該方法從DNS流量中提取出服務器-主機對及其特征，從而求出服務器-主機對的不相似度矩陣，然后用VAT(Visual Assessment of cluster Tendency)算法來檢測僵尸網(wǎng)絡。該方法能給出不相似度矩陣的像素圖，從像素圖中能明顯地看出是否存在僵尸網(wǎng)絡簇及簇的個數(shù)和大小。實驗結果表明該方法可以有效檢測出僵尸網(wǎng)絡，并且和現(xiàn)有經(jīng)典的基于DNS流量的檢測方法相比，該方法的總錯誤率較低。
　　(3)提出了基于流間

5、關聯(lián)關系的僵尸網(wǎng)絡檢測方法。分布式僵尸網(wǎng)絡由于沒有集中的命令與控制服務器，因而比集中式僵尸網(wǎng)絡更難檢測。分布式僵尸網(wǎng)絡中每個僵尸主機維護一個鄰居節(jié)點列表，并頻繁地依次訪問列表中的節(jié)點以獲取命令或者更新，僵尸主機訪問鄰居列表中前后節(jié)點產(chǎn)生的流具有關聯(lián)關系。針對這類僵尸網(wǎng)絡，本文提出了基于流間關聯(lián)關系的檢測方法。該方法首先獲取流，然后通過提取流間關聯(lián)關系來檢測僵尸網(wǎng)絡。實驗結果表明通過提取流間關聯(lián)關系能有效檢測出僵尸網(wǎng)絡。與現(xiàn)有分布式僵尸網(wǎng)

6、絡檢測方法相比，該方法不需要外部系統(tǒng)提供信息，不依賴于僵尸網(wǎng)絡的攻擊行為。
　　(4)提出了云協(xié)同環(huán)境下的僵尸網(wǎng)絡檢測方法。僵尸網(wǎng)絡的發(fā)展進化使得檢測方法越來越復雜，其計算量也越來越大，因而在單服務器下運行的串行檢測算法很難應對高速網(wǎng)絡環(huán)境中的僵尸網(wǎng)絡檢測問題。而云計算具有強大的數(shù)據(jù)分析和處理能力，為僵尸網(wǎng)絡的檢測提供了解決方案。因而本文提出了云協(xié)同環(huán)境下的僵尸網(wǎng)絡檢測方法。該方法由云客戶端和云服務器端協(xié)同完成僵尸網(wǎng)絡的檢測。云客