僵尸控制行為識(shí)別及檢測(cè)方法研究.pdf

1、僵尸網(wǎng)絡(luò)是由大量被控主機(jī)構(gòu)成的可用來發(fā)動(dòng)大規(guī)模網(wǎng)絡(luò)攻擊的惡意受控群體，它通常受到某個(gè)特定操控端的控制，在接受命令后發(fā)起惡意攻擊。近年來，僵尸網(wǎng)絡(luò)的控制能力越發(fā)強(qiáng)健。組織結(jié)構(gòu)從普通的集中控制型逐漸轉(zhuǎn)變成分布式和結(jié)構(gòu)化的P2P模式，控制協(xié)議也更加的多元化，甚至出現(xiàn)了多種協(xié)議加密的僵尸變種，給檢測(cè)技術(shù)的研究帶來了巨大的挑戰(zhàn)。控制信道作為僵尸網(wǎng)絡(luò)進(jìn)行網(wǎng)絡(luò)構(gòu)建和功能執(zhí)行的咽喉要道，對(duì)其識(shí)別和檢測(cè)方法的研究顯得至關(guān)重要。
　　 本課題針對(duì)兩

2、種僵尸網(wǎng)絡(luò)控制類型，提出控制行為的識(shí)別算法，并以此設(shè)計(jì)檢測(cè)系統(tǒng)框架。對(duì)于集中控制式的IRC僵尸網(wǎng)絡(luò)，首先通過協(xié)議匹配識(shí)別出IRC會(huì)話，然后利用高效的多模式匹配算法提取服務(wù)器至客戶端所有封包中的惡意控制關(guān)鍵字，最后根據(jù)關(guān)鍵字的不同進(jìn)行進(jìn)一步分析和歸類處理。對(duì)于P2P僵尸網(wǎng)絡(luò)，由于其控制信道的協(xié)議未知性，采用基于流特征相似性判定的方法對(duì)控制行為進(jìn)行識(shí)別。首先，利用剩余熵的理論初步提取校網(wǎng)環(huán)境中的P2P控制流量，接著利用 序列假設(shè)檢驗(yàn)算法量化

3、控制流相似性，最后使用相似性量化值及流平均包數(shù)所構(gòu)成的二維隨機(jī)變量進(jìn)行支持向量機(jī)的訓(xùn)練并對(duì)結(jié)果進(jìn)行預(yù)測(cè)。
　　 在對(duì)華中科技大學(xué)校園網(wǎng)內(nèi)部數(shù)據(jù)包和流的分析中顯示：基于IRC惡意控制命令的檢測(cè)算法的檢測(cè)效率能夠應(yīng)對(duì)千兆網(wǎng)環(huán)境下的包數(shù)據(jù)量，并準(zhǔn)確檢測(cè)隱匿在校園網(wǎng)中的僵尸樣本并根據(jù)控制命令的不同準(zhǔn)確區(qū)分；在基于控制流相似性的P2P僵尸檢測(cè)算法中，剩余熵的粗提取算法能夠?yàn)V除99.8％以上的無關(guān)流量，序列假設(shè)檢驗(yàn)?zāi)軌蛟诜植嘉粗那闆r下準(zhǔn)確