僵尸終端檢測(cè)算法與研究.pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)的安全性和可靠性正在越來(lái)越多的受到人們的關(guān)注。作為網(wǎng)絡(luò)安全的重要組成部分，僵尸網(wǎng)絡(luò)的檢測(cè)技術(shù)也受到日益的重視。目前僵尸網(wǎng)絡(luò)的檢測(cè)方法分為兩類，分別為基于蜜網(wǎng)系統(tǒng)的檢測(cè)和基于網(wǎng)絡(luò)流量的監(jiān)視與分析。第二類的檢測(cè)方法分為四種：1)基于簽名的檢測(cè)，2)基于異常的檢測(cè)，3)基于DNS的檢測(cè)，4)基于數(shù)據(jù)挖掘的檢測(cè)。
　　 基于網(wǎng)絡(luò)異常的檢測(cè)技術(shù)由于其實(shí)時(shí)性，以及其檢測(cè)過(guò)程中無(wú)需先驗(yàn)知識(shí)來(lái)進(jìn)行規(guī)則匹配，而在僵尸

2、網(wǎng)絡(luò)的檢測(cè)中得到廣泛應(yīng)用。本文的重點(diǎn)研究目標(biāo)就是利用僵尸終端的網(wǎng)絡(luò)特性，采用異常檢測(cè)算法，對(duì)在局域網(wǎng)內(nèi)的疑似主機(jī)進(jìn)行多方面檢測(cè)，從而達(dá)到準(zhǔn)確判斷僵尸終端的目的。
　　 為解決僵尸終端檢測(cè)中需先對(duì)其進(jìn)行規(guī)則匹配和無(wú)法對(duì)其惡意行為進(jìn)行防范的問(wèn)題，本文在首先研究了不同種類僵尸程序特征的基礎(chǔ)上，利用僵尸網(wǎng)絡(luò)內(nèi)部通訊特征流量，標(biāo)記出監(jiān)控范圍，從而實(shí)現(xiàn)對(duì)疑似僵尸終端的監(jiān)控。然后，提出了用輸入報(bào)文有效載荷的相似性，輸入輸出報(bào)文對(duì)的時(shí)間距離來(lái)刻

3、畫疑似僵尸終端之間的整體相似度，并通過(guò)這個(gè)相似度來(lái)靜態(tài)的描繪這些監(jiān)控范圍內(nèi)主機(jī)在某一時(shí)間段內(nèi)的通訊特征是否符合僵尸終端的特征。最后，把所得到整體相似度代入改進(jìn)后的TRW算法，將每一個(gè)時(shí)間窗內(nèi)的靜態(tài)相似性的度量值作為該算法每一步運(yùn)行的輸入，多輪次的(多時(shí)間窗)的對(duì)監(jiān)控范圍內(nèi)的僵尸終端進(jìn)行檢測(cè)判斷，確定閾值，并最終標(biāo)記出局域網(wǎng)內(nèi)的僵尸終端。本文的以上工作為檢測(cè)僵尸終端、防范僵尸網(wǎng)絡(luò)提供了一個(gè)新的方法。實(shí)驗(yàn)證明該方法成功的實(shí)現(xiàn)了對(duì)僵尸終端的異