僵尸網(wǎng)絡(luò)對抗技術(shù)研究.pdf

1、隨著Internet的飛速發(fā)展，計算機(jī)和互聯(lián)網(wǎng)已經(jīng)成為人們?nèi)粘Ｉ钪胁豢苫蛉钡脑?，然而互?lián)網(wǎng)面臨著大量的安全威脅，僵尸網(wǎng)絡(luò)正是最嚴(yán)重的威脅之一。僵尸網(wǎng)絡(luò)是攻擊者利用互聯(lián)網(wǎng)秘密建立的可以集中控制的計算機(jī)群，它不是一個特指的安全事件，而是攻擊者手中的一個平臺，利用該平臺，攻擊者可以實現(xiàn)覆蓋面更廣，力度更高，更難于防范的攻擊。僵尸網(wǎng)絡(luò)的高度活躍引起多方重視，目前針對僵尸網(wǎng)絡(luò)的研究工作主要有五個方面，分別是檢測、測量、追蹤、主動防御和體系結(jié)構(gòu)

2、研究，其中檢測是測量、追蹤和主動防御的基礎(chǔ)，體系結(jié)構(gòu)研究是防治未來可能的僵尸網(wǎng)絡(luò)的前導(dǎo)。檢測、測量和追蹤工作的一個強(qiáng)力支持為蜜罐蜜網(wǎng)技術(shù)，于是雖然蜜罐技術(shù)研究不屬于僵尸網(wǎng)絡(luò)的研究方向，但它為僵尸網(wǎng)絡(luò)研究奠定基礎(chǔ)。本文圍繞著僵尸網(wǎng)絡(luò)的研究方向，針對僵尸網(wǎng)絡(luò)對抗技術(shù)進(jìn)行深入研究，主要內(nèi)容如下：
　　給出僵尸網(wǎng)絡(luò)的定義、屬性、演化脈絡(luò)及危害分析。對僵尸網(wǎng)絡(luò)五個研究方向的工作進(jìn)行綜述，進(jìn)一步明確本文的研究內(nèi)容及目標(biāo)。
　　研究面向僵

3、尸程序樣本捕獲的分布式蜜罐部署模型。僵尸程序樣本分析可以為僵尸網(wǎng)絡(luò)研究的各個方向提供強(qiáng)有力的支持，于是樣本捕獲是僵尸網(wǎng)絡(luò)研究的基礎(chǔ)。目前針對僵尸程序樣本捕獲的研究工作主要集中在蜜罐的設(shè)計、實現(xiàn)和應(yīng)用，然而蜜罐部署策略研究能夠提高部署效率、降低部署成本，有重要的實際意義。本文提出的模型闡述了僵尸程序樣本分析需求、僵尸程序傳播屬性、檢測時間、檢測概率與蜜罐部署參數(shù)之間的關(guān)系。在模型分析的基礎(chǔ)上，提出蜜罐部署閾值和網(wǎng)絡(luò)距離兩個參數(shù)，這兩個參數(shù)

4、分別刻畫了蜜罐部署個數(shù)和蜜罐部署位置的最優(yōu)選擇，能夠為實際構(gòu)建分布式蜜罐系統(tǒng)提供理論依據(jù)，旨在達(dá)到經(jīng)濟(jì)與效益的平衡。
　　研究IRC僵尸網(wǎng)絡(luò)檢測算法。檢測技術(shù)研究是僵尸網(wǎng)絡(luò)對抗的重點，目前已有的IRC僵尸網(wǎng)絡(luò)檢測算法存在兩個問題：需要先驗知識以獲取匹配模式，無法滿足實時處理需求。為解決這兩個問題，本文提出了基于昵稱相似性和命令序列相似性這兩個終端行為特征的IRC僵尸網(wǎng)絡(luò)檢測算法。文中提出三個屬性分別從內(nèi)容、組成和結(jié)構(gòu)三方面互補(bǔ)的刻

5、畫兩個昵稱的相似性，給出了兩個昵稱相似性的量化因子，根據(jù)這量化因子生成彈性TRW算法以進(jìn)行IRC僵尸網(wǎng)絡(luò)實時檢測。在分析僵尸終端登錄服務(wù)器的行為的基礎(chǔ)上，本文還提出了基于命令序列相似性的檢測輔助算法。
　　研究可重構(gòu)的僵尸網(wǎng)絡(luò)體系結(jié)構(gòu)。僵尸網(wǎng)絡(luò)體系結(jié)構(gòu)研究是僵尸網(wǎng)絡(luò)對抗的另一方法，可以使安全研究人員提早預(yù)防未來可能出現(xiàn)的僵尸網(wǎng)絡(luò)。僵尸網(wǎng)絡(luò)命令控制信道是僵尸網(wǎng)絡(luò)的核心，以健壯性為其設(shè)計目標(biāo)。目前已有的命令控制結(jié)構(gòu)大多具備二級健壯性，

6、本文研究一個具備三級健壯性的可重構(gòu)僵尸網(wǎng)絡(luò)的體系結(jié)構(gòu)。該僵尸網(wǎng)絡(luò)具備兩個命令控制信道，采用Sniffer方式獲取命令，采用TOR Hidden Service保護(hù)關(guān)鍵節(jié)點，當(dāng)通信C&C失效時，使用重構(gòu)C&C對僵尸網(wǎng)絡(luò)進(jìn)行重建。本文在分析其體系結(jié)構(gòu)的同時，研究其弱點，擴(kuò)展僵尸網(wǎng)絡(luò)生命周期，給出三種對抗可重構(gòu)僵尸網(wǎng)絡(luò)的方法。
　　在已完成工作的基礎(chǔ)上，設(shè)計并實現(xiàn)大規(guī)模網(wǎng)絡(luò)環(huán)境下僵尸網(wǎng)絡(luò)檢測系統(tǒng)。該系統(tǒng)以高性能網(wǎng)絡(luò)捕包平臺為基礎(chǔ)，以蜜猴