基于樹突細胞算法數(shù)據(jù)融合的僵尸程序檢測.pdf

1、近年來，分布式拒絕服務攻擊(DDoS)、垃圾郵件(Spam)、網絡釣魚(phishing)、蠕蟲(worm)傳播、竊取敏感信息等惡意活動使網絡安全面臨著重大的威脅，導致了巨大的經濟損失，而其中大部分惡意活動是由于僵尸網絡(Botnet)造成的。
　　僵尸網絡是一種由受控計算機組成的大型計算機網絡，從基于簡單的IRC協(xié)議到復雜多變的P2P結構，再到基于HTTP及DNS協(xié)議的控制模式，僵尸網絡逐漸發(fā)展成為難以檢測的惡意行為。雖然僵尸網

2、絡檢測技術的研究成果顯著，但已存在的檢測技術很少是根據(jù)系統(tǒng)API函數(shù)調用來監(jiān)控僵尸程序的行為，也沒有使用人工免疫系統(tǒng)中的算法對不同的數(shù)據(jù)源進行數(shù)據(jù)融合。
　　基于此，本文的主要研究內容如下:
　　1.研究了僵尸網絡的起源、分類及其危害，以及當前主要的僵尸網絡檢測手段和最新的檢測理論研究成果，分析了各類檢測技術的缺點和缺陷。
　　2.從樹突細胞(DendriticCellsAlgorithm，DCA)生物學機理入手，分析

3、了樹突細胞在人體免疫系統(tǒng)中的功能，介紹了樹突細胞算法和確定性樹突細胞算法。
　　3.研究并分析了僵尸程序在僵尸主機中的行為，利用APIHook工具對僵尸程序行為的系統(tǒng)調用進行截獲，完成了所截獲數(shù)據(jù)與DCA輸入信號之間的映射關系。通過分析DCA算法中樹突細胞的行為特征，對不同來源的數(shù)據(jù)進行了融合和相互關聯(lián)，并且在原有樹突細胞算法的基礎上將異常指標MCAV改變?yōu)镸AC，實現(xiàn)對對僵尸程序的檢測。通過實驗表明，將DCA的數(shù)據(jù)融合能力應用到