基于數(shù)據(jù)流的僵尸網(wǎng)絡檢測系統(tǒng)設計與實現(xiàn).pdf

1、僵尸網(wǎng)絡已經(jīng)成為當今互聯(lián)網(wǎng)上最主要的網(wǎng)絡攻擊平臺，可進行分布式拒絕服務攻擊、發(fā)送垃圾郵件、釣魚、信息竊取等惡意網(wǎng)絡行為。隨著僵尸網(wǎng)絡的興起，研究僵尸網(wǎng)絡的檢測技術成為必然。
　　當前主要包括四種僵尸網(wǎng)絡檢測技術：基于特征的檢測技術，基于數(shù)據(jù)流的檢測技術，基于蜜罐的檢測技術以及基于DNS的檢測技術?；谔卣鞯臋z測技術通常要等到僵尸網(wǎng)絡爆發(fā)之后提取特征，具有滯后性；基于數(shù)據(jù)流的檢測技術能更好的挖掘僵尸網(wǎng)絡本質，但是誤報率與漏報率都較高

2、，很難在實際中部署；蜜罐技術是使用最廣泛的檢測技術，然而只有等到僵尸樣本被捕獲后才能分析，缺乏主動性；而基于DNS的檢測技術往往受到ISP管理約束，不具備通用性。
　　本文通過對以上檢測技術的分析，認為流檢測技術在檢測多個僵尸程序和實時性上具有一定優(yōu)勢，從而提出了一種基于數(shù)據(jù)流的僵尸網(wǎng)絡檢測模型，該模型首先對僵尸網(wǎng)絡流量特性進行分類，而后計算網(wǎng)絡中惡意活動活躍度，最后對兩者進行交叉關聯(lián)分析得到僵尸主機的IP地址。
　　該系統(tǒng)

3、分為五個部分：通信監(jiān)測平臺、活動監(jiān)測平臺、通信聚集模塊、活動聚集模塊、交叉關聯(lián)模塊。通信監(jiān)測平臺通過在網(wǎng)關上獲取網(wǎng)絡內的流數(shù)據(jù)，并將其格式化后寫入日志?；顒颖O(jiān)測平臺負責檢測可疑的活動，例如掃描、垃圾郵件、漏洞利用、二進制下載等等。通信聚類模塊和活動聚類模塊根據(jù)監(jiān)測平臺產(chǎn)生的日志文件分別進行各自的聚類過程。交叉關聯(lián)模塊將兩個聚類結果合并，找出同一個僵尸網(wǎng)絡中的可能成員主機。
　　最后本文在局域網(wǎng)里搭建了一個小型的僵尸網(wǎng)絡，模擬了端口