基于相似性分析的僵尸網(wǎng)絡(luò)檢測研究與實現(xiàn).pdf

1、僵尸網(wǎng)絡(luò)因其自身易控制、范圍廣、難檢測等特點已發(fā)展成為目前互聯(lián)網(wǎng)中最主要、最廣泛的網(wǎng)絡(luò)攻擊平臺,Botmaster可以利用僵尸網(wǎng)絡(luò)實施竊取信息、Spamming、DDOS攻擊等惡意行為。隨著僵尸網(wǎng)絡(luò)技術(shù)不斷發(fā)展,僵尸種類和規(guī)模的不斷增加,針對僵尸網(wǎng)絡(luò)的檢測技術(shù)也已成為網(wǎng)絡(luò)安全領(lǐng)域的一個研究熱點。
　　目前已有的僵尸網(wǎng)絡(luò)檢測技術(shù)主要有網(wǎng)絡(luò)流量內(nèi)容檢測、異常檢測、日志檢測等,這些檢測技術(shù)都會存在一些缺陷或限制,例如對不同類型僵尸網(wǎng)絡(luò)檢

2、測的通用性不足、檢測系統(tǒng)在實際環(huán)境中部署困難等。
　　為解決檢測方法通用性不足的問題,本文通過分析僵尸網(wǎng)絡(luò)的工作原理和通信機制發(fā)現(xiàn)僵尸主機表現(xiàn)出的網(wǎng)絡(luò)流量特征、主機行為具有一定的群體相似性特點。以相似性為理論依據(jù),本文結(jié)合已有的僵尸網(wǎng)絡(luò)檢測技術(shù)提出了基于相似性分析的僵尸網(wǎng)絡(luò)檢測方法,設(shè)計并實現(xiàn)了一種檢測系統(tǒng)模型。該檢測系統(tǒng)模型包括網(wǎng)絡(luò)抓包、網(wǎng)絡(luò)流量分析、主機行為分析和交叉關(guān)聯(lián)聚類四個主要功能模塊,通過抓取、分析網(wǎng)絡(luò)中的TCP和UD

3、P數(shù)據(jù)包來檢測網(wǎng)絡(luò)中是否存在僵尸網(wǎng)絡(luò)。其中,網(wǎng)絡(luò)抓包模塊部署在被監(jiān)測網(wǎng)絡(luò)邊界處監(jiān)測和收集網(wǎng)絡(luò)數(shù)據(jù)包,網(wǎng)絡(luò)流量分析模塊功能通過對網(wǎng)絡(luò)數(shù)據(jù)包分析提取相似特征并找出具有相似特征的主機,主機行為分析模塊功能則根據(jù)網(wǎng)絡(luò)流量特征找出可疑的主機行為以及表現(xiàn)出相同行為的主機,交叉關(guān)聯(lián)聚類模塊針對網(wǎng)絡(luò)流量分析模塊和主機行為分析模塊得到的結(jié)果進行過濾、相似性度量計算找出可疑的、屬于同一僵尸網(wǎng)絡(luò)的主機。
　　本文在現(xiàn)有實驗資源條件下搭建了一個簡單的局域