蠕蟲型僵尸工具的傳播模型及檢測技術(shù)研究.pdf

1、分布式拒絕服務(wù)(DDoS)攻擊已經(jīng)給互聯(lián)網(wǎng)帶來了極大的危害，僵尸網(wǎng)絡(luò)(Botnet)作為攻擊者選擇的最主要工具，是反擊分布式拒絕服務(wù)攻擊的首要目標(biāo)。由于僵尸網(wǎng)絡(luò)不是個(gè)體病毒的感染發(fā)作，而是一個(gè)或多個(gè)攻擊性網(wǎng)絡(luò)的建立，以及在特定時(shí)間內(nèi)對(duì)特定對(duì)象的群體式攻擊，因此僵尸網(wǎng)絡(luò)的建立過程尤其值得研究和關(guān)注。僵尸網(wǎng)絡(luò)的建立依賴于僵尸工具的傳播，若不考慮攻擊節(jié)點(diǎn)向控制中心的注冊(cè)及雙方的交互過程，可將僵尸工具的傳播過程看作僵尸網(wǎng)絡(luò)的組網(wǎng)過程。而對(duì)僵尸工

2、具的檢測是阻礙僵尸網(wǎng)絡(luò)進(jìn)一步發(fā)展和破壞現(xiàn)有僵尸網(wǎng)絡(luò)的手段之一。因此以僵尸工具的傳播和檢測作為研究僵尸網(wǎng)絡(luò)的切入點(diǎn)，是僵尸網(wǎng)絡(luò)研究中很必要的一個(gè)課題。 本文以IRC(InternetRelayChat)僵尸網(wǎng)絡(luò)為研究背景，針對(duì)其即時(shí)聊天工具組成的網(wǎng)絡(luò)特點(diǎn)，選取其中以蠕蟲方式傳播的僵尸工具作為研究的切入點(diǎn)，主要完成了以下三個(gè)方面的工作。 第一，建立了基于無尺度網(wǎng)絡(luò)拓?fù)涞娜湎x型僵尸工具傳播模型。本文通過對(duì)蠕蟲型僵尸工具的特征和

3、僵尸網(wǎng)絡(luò)的復(fù)雜性網(wǎng)絡(luò)拓?fù)涞难芯?，認(rèn)為無尺度網(wǎng)絡(luò)是最適合描述由蠕蟲型僵尸工具感染而形成的IRC僵尸網(wǎng)絡(luò)的網(wǎng)絡(luò)模型。在此模型下，改進(jìn)了當(dāng)前建立在完全連接網(wǎng)絡(luò)模型下的蠕蟲型僵尸工具的傳播模型，重點(diǎn)考慮了集散節(jié)點(diǎn)對(duì)于僵尸工具傳播的影響，提出了無尺度網(wǎng)絡(luò)下的雙因素傳播模型。仿真分析表明，本文所提出的模型在初始傳播的延遲性上處理較好，并且移除曲線更加平緩，更接近于實(shí)際觀測曲線，取得了較好的模擬效果。 第二，提出了分段處理的概率字符串匹配算法

4、。傳統(tǒng)的模式匹配算法是解決兩個(gè)字符串之間的相似性問題，而對(duì)于一些被噪聲影響的攻擊信息或利用會(huì)話拼接、信息分散等技術(shù)的攻擊手段卻無能為力。本文提出的分段處理的概率字符串匹配算法，將問題轉(zhuǎn)化成求模式串中至少有1/p的字符順序地出現(xiàn)在文本串中，可有效地解決上述傳統(tǒng)模式匹配算法的缺陷。該算法是基于基本動(dòng)態(tài)規(guī)劃概率匹配算法的改進(jìn)，兼具概率匹配算法和正則匹配的特點(diǎn)，可實(shí)現(xiàn)在線匹配，使漏報(bào)率更低。其最好情況下的復(fù)雜度為O(㎡/logm)，最壞情況下也