基于流量的僵尸網(wǎng)絡(luò)檢測(cè)方法研究.pdf

1、僵尸網(wǎng)絡(luò)是由攻擊者控制的計(jì)算機(jī)群，能夠執(zhí)行諸如分布式拒絕服務(wù)攻擊、垃圾郵件、釣魚網(wǎng)站、敏感信息竊取等多種惡意活動(dòng)，已經(jīng)成為互聯(lián)網(wǎng)的嚴(yán)重威脅之一。因而如何有效檢測(cè)出僵尸網(wǎng)絡(luò)也成為了當(dāng)前重要的研究課題。
　　目前僵尸網(wǎng)絡(luò)檢測(cè)主要通過分析網(wǎng)絡(luò)流量來完成。這類檢測(cè)方法取得了一些的研究成果，但也存在明顯的不足:單純利用僵尸主機(jī)行為相似性的方法容易出現(xiàn)誤判;通常需要黑名單才能完成檢測(cè);依賴于僵尸主機(jī)的惡意攻擊行為;檢測(cè)效率較低等。本文針對(duì)現(xiàn)有

2、僵尸網(wǎng)絡(luò)檢測(cè)方法的上述問題，提出了四種新的僵尸網(wǎng)絡(luò)檢測(cè)方法。具體貢獻(xiàn)及創(chuàng)新如下:
　　(1)提出了基于流量相似性及穩(wěn)定性的僵尸網(wǎng)絡(luò)檢測(cè)方法。通常同一個(gè)僵尸網(wǎng)絡(luò)中的僵尸主機(jī)會(huì)運(yùn)行相同的僵尸程序，其流量具有相似性及穩(wěn)定性?，F(xiàn)有方法僅利用流量相似性來檢測(cè)僵尸網(wǎng)絡(luò)，容易出現(xiàn)誤判等問題。本文提出了基于流量相似性和穩(wěn)定性相結(jié)合的檢測(cè)方法。該方法以聚合流為分析對(duì)象，首先對(duì)聚合流進(jìn)行聚類并得出相似性分?jǐn)?shù)，然后設(shè)計(jì)穩(wěn)定性測(cè)量算法計(jì)算單個(gè)聚合流的穩(wěn)定

3、性分?jǐn)?shù)，最后根據(jù)相似性和穩(wěn)定性分?jǐn)?shù)得出綜合分析結(jié)果。實(shí)驗(yàn)結(jié)果表明該方法的檢測(cè)率比單純用穩(wěn)定性的方法高，誤報(bào)率比單純用相似性的方法低，檢測(cè)性能較好。
　　(2)提出了面向DNS流量的可視化僵尸網(wǎng)絡(luò)檢測(cè)方法。為了逃避檢測(cè)，僵尸網(wǎng)絡(luò)會(huì)采用動(dòng)態(tài)域名技術(shù)。僵尸主機(jī)要頻繁地發(fā)起DNS查詢以獲取命令與控制服務(wù)器當(dāng)前的IP地址，因而會(huì)產(chǎn)生大量DNS流量。針對(duì)現(xiàn)有利用DNS流量的檢測(cè)方法需要用黑名單等問題，本文提出了面向DNS流量的可視化僵尸網(wǎng)絡(luò)檢

4、測(cè)方法。該方法從DNS流量中提取出服務(wù)器-主機(jī)對(duì)及其特征，從而求出服務(wù)器-主機(jī)對(duì)的不相似度矩陣，然后用VAT(Visual Assessment of cluster Tendency)算法來檢測(cè)僵尸網(wǎng)絡(luò)。該方法能給出不相似度矩陣的像素圖，從像素圖中能明顯地看出是否存在僵尸網(wǎng)絡(luò)簇及簇的個(gè)數(shù)和大小。實(shí)驗(yàn)結(jié)果表明該方法可以有效檢測(cè)出僵尸網(wǎng)絡(luò)，并且和現(xiàn)有經(jīng)典的基于DNS流量的檢測(cè)方法相比，該方法的總錯(cuò)誤率較低。
　　(3)提出了基于流間

5、關(guān)聯(lián)關(guān)系的僵尸網(wǎng)絡(luò)檢測(cè)方法。分布式僵尸網(wǎng)絡(luò)由于沒有集中的命令與控制服務(wù)器，因而比集中式僵尸網(wǎng)絡(luò)更難檢測(cè)。分布式僵尸網(wǎng)絡(luò)中每個(gè)僵尸主機(jī)維護(hù)一個(gè)鄰居節(jié)點(diǎn)列表，并頻繁地依次訪問列表中的節(jié)點(diǎn)以獲取命令或者更新，僵尸主機(jī)訪問鄰居列表中前后節(jié)點(diǎn)產(chǎn)生的流具有關(guān)聯(lián)關(guān)系。針對(duì)這類僵尸網(wǎng)絡(luò)，本文提出了基于流間關(guān)聯(lián)關(guān)系的檢測(cè)方法。該方法首先獲取流，然后通過提取流間關(guān)聯(lián)關(guān)系來檢測(cè)僵尸網(wǎng)絡(luò)。實(shí)驗(yàn)結(jié)果表明通過提取流間關(guān)聯(lián)關(guān)系能有效檢測(cè)出僵尸網(wǎng)絡(luò)。與現(xiàn)有分布式僵尸網(wǎng)

6、絡(luò)檢測(cè)方法相比，該方法不需要外部系統(tǒng)提供信息，不依賴于僵尸網(wǎng)絡(luò)的攻擊行為。
　　(4)提出了云協(xié)同環(huán)境下的僵尸網(wǎng)絡(luò)檢測(cè)方法。僵尸網(wǎng)絡(luò)的發(fā)展進(jìn)化使得檢測(cè)方法越來越復(fù)雜，其計(jì)算量也越來越大，因而在單服務(wù)器下運(yùn)行的串行檢測(cè)算法很難應(yīng)對(duì)高速網(wǎng)絡(luò)環(huán)境中的僵尸網(wǎng)絡(luò)檢測(cè)問題。而云計(jì)算具有強(qiáng)大的數(shù)據(jù)分析和處理能力，為僵尸網(wǎng)絡(luò)的檢測(cè)提供了解決方案。因而本文提出了云協(xié)同環(huán)境下的僵尸網(wǎng)絡(luò)檢測(cè)方法。該方法由云客戶端和云服務(wù)器端協(xié)同完成僵尸網(wǎng)絡(luò)的檢測(cè)。云客