僵尸網(wǎng)絡(luò)檢測系統(tǒng)的分析與設(shè)計.pdf

1、隨著計算機網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展和廣泛應(yīng)用，網(wǎng)絡(luò)犯罪數(shù)量急劇增加，對用戶與企業(yè)造成的危害也越來越大。造成這一現(xiàn)象的主要原因是僵尸網(wǎng)絡(luò)的出現(xiàn)。僵尸網(wǎng)絡(luò)為攻擊者提供了隱匿、靈活且高效的一對多命令與控制機制，可以控制大量僵尸主機實現(xiàn)信息竊取、分布式拒絕服務(wù)攻擊和垃圾郵件發(fā)送等攻擊目的。僵尸網(wǎng)絡(luò)是整個網(wǎng)絡(luò)犯罪的核心，能夠?qū)⒕W(wǎng)絡(luò)犯罪世界里的各個部分聯(lián)接和統(tǒng)一起來。現(xiàn)階段僵尸網(wǎng)絡(luò)正步入快速發(fā)展時期，對互聯(lián)網(wǎng)安全已經(jīng)造成嚴(yán)重威脅。
　　 目前對僵

2、尸網(wǎng)絡(luò)的研究才剛剛興起，采用的也多為流量檢測的方法。但由于這種方法通常是等到僵尸網(wǎng)絡(luò)爆發(fā)后，才開始提取特征，因此不能及時準(zhǔn)確地發(fā)現(xiàn)并遏制僵尸網(wǎng)絡(luò)。
　　 針對以上情況，本文的主要貢獻和創(chuàng)新在于：設(shè)計了一套既能夠檢測又能夠清除僵尸網(wǎng)絡(luò)的系統(tǒng)，并且從網(wǎng)絡(luò)層面提出了五種新的檢測僵尸網(wǎng)絡(luò)的方法。具體來說本文的工作主要包括如下幾個方面：
　　 1.總結(jié)了僵尸網(wǎng)絡(luò)的定義、工作原理及傳播途徑，并研究了傳統(tǒng)的檢測方法，同時簡要地論述和分

3、析了僵尸網(wǎng)絡(luò)的發(fā)展趨勢。
　　 2.在深入理解僵尸網(wǎng)絡(luò)特點的基礎(chǔ)上，本文設(shè)計了一套檢測系統(tǒng)，這套系統(tǒng)既能夠檢測到僵尸網(wǎng)絡(luò)，又能夠阻斷過濾僵尸網(wǎng)絡(luò)的流量，同時還能夠提供專殺軟件幫助用戶清除主機感染的僵尸程序。
　　 3.由于怎樣把僵尸網(wǎng)絡(luò)檢測出來一直是僵尸網(wǎng)絡(luò)研究的重點和難點，因此本文從網(wǎng)絡(luò)層面提出了五種新的基于異常流量的檢測方法，分別是：免疫虛擬機自動分析方案，異常行為識別方案，通信行為檢測方案，首包上線方案和異常IRC

4、檢測方案。根據(jù)檢測算法，系統(tǒng)能夠及時發(fā)現(xiàn)僵尸網(wǎng)絡(luò)的建立、控制與攻擊，并通過清洗模塊與專殺模塊進一步遏制僵尸網(wǎng)絡(luò)的擴散與危害。通過與傳統(tǒng)檢測方法的聯(lián)合，本文提出的檢測方法減少了對系統(tǒng)資源的需求，大大提高了系統(tǒng)的實效性，同時減少了“漏報率”和“誤報率”。
　　 4.本文還提出了兩種輔助驗證方案，用于判斷可疑主機是否參與了僵尸網(wǎng)絡(luò)，驗證系統(tǒng)檢測得到的結(jié)果是否正確。
　　 5.在設(shè)計與實現(xiàn)工作完成后，本文對檢測系統(tǒng)進行實驗室測試