基于行為特征的IRC僵尸網(wǎng)絡(luò)檢測方法研究.pdf

1、僵尸網(wǎng)絡(luò)是在網(wǎng)絡(luò)蠕蟲、特洛伊木馬、后門工具等傳統(tǒng)惡意代碼形態(tài)的基礎(chǔ)上發(fā)展、融合而產(chǎn)生的一種新型攻擊方式。通過僵尸網(wǎng)絡(luò)可以發(fā)送垃圾郵件、竊取個人信息、發(fā)動拒絕服務(wù)攻擊等，是目前國際網(wǎng)絡(luò)安全領(lǐng)域最為關(guān)注的威脅之一。
　　本文首先介紹了僵尸網(wǎng)絡(luò)的定義和相關(guān)概念，研究僵尸網(wǎng)絡(luò)工作原理和生命周期，重點(diǎn)剖析了不同協(xié)議類別僵尸網(wǎng)絡(luò)的命令與控制機(jī)制，闡述了基于時區(qū)的僵尸網(wǎng)絡(luò)傳播模型，并對僵尸網(wǎng)絡(luò)跟蹤、檢測和防御研究領(lǐng)域的方法進(jìn)行總結(jié)。
　　

2、在此基礎(chǔ)上深入研究IRC僵尸網(wǎng)絡(luò)運(yùn)行機(jī)制，分析僵尸程序與控制服務(wù)器交互的網(wǎng)絡(luò)行為特征，提出了針對IRC僵尸網(wǎng)絡(luò)形成初期的檢測方法：昵稱檢測、控制命令檢測和命令序列相似性檢測。昵稱檢測通過分值計算、多正則式匹配和頻道昵稱距離檢測僵尸主機(jī)。控制命令檢測采用AC多模匹配增效算法查找僵尸網(wǎng)絡(luò)命令關(guān)鍵字。命令序列相似性檢測依據(jù)同頻道聊天主機(jī)發(fā)送命令內(nèi)容相似度來發(fā)現(xiàn)僵尸網(wǎng)絡(luò)。三種檢測方法面向登錄過程不同階段，檢測結(jié)果互補(bǔ)，提高了僵尸網(wǎng)絡(luò)檢測率。最后