基于流量分析的僵尸网络检测技术研究与实现

发布时间：2017-09-28 11:44

  本文关键词：基于流量分析的僵尸网络检测技术研究与实现

  更多相关文章： 僵尸网络 流量分析 时空相关性

【摘要】：从采用IRC协议的“egg drop bot”到高度模块化的AgoBot,僵尸程序从最初的网络聊天室辅助软件,逐渐成为威胁网络安全的主流恶意软件之一。在僵尸网络的攻防博弈中,IRC协议被HTTP、P2P等协议取代,并利用fast-flux,Domain-flux,URL-flux等技术加强僵尸网络通信的隐蔽性。同时,僵尸网络也摒弃了传统的中心式CC(Command and Control)信道结构,采用了更加灵活和健壮的分布式CC信道结构。异常分析、DNS流量检测及流量聚类检测等僵尸网络检测手段是当前较为常见的检测手段。然而,这些检测手段存在部署困难、难以应用于分布式僵尸网络的检测等缺点。为了有效的对分布式僵尸网络进行检测,论文对分布式僵尸网络的生命周期、组成要素等重要特征进行了分析研究,发现分布式僵尸网络中的节点之间的通信数据包具有时空相关性。而这种相关性可以采用流量分析技术进行检测,论文将时空相关性这一检测点与流量分析技术相结合,设计并实现了基于时空相关性的僵尸网络检测系统,该检测系统通过分析被检测网络中的通信流量,最终得出检测结果。该检测系统由数据包聚合模块、时空相关关系获取模块及僵尸主机检测模块构成。数据包聚合模块首先抓取原始的网络数据包,然后按照数据包之间的时空相关性将原始数据包进行聚合。时空相关关系获取模块负责对满足时间间隔阈值和出现次数阈值的可信二层相关关系进行提取,然后在此基础上,进行多层相关关系的获取。僵尸网络检测模块采用层次聚类算法,将小于距离阈值的主机节点聚合为一个簇,直到簇的数目不再发生变化,从而完成最终的检测,找出可能的僵尸主机。为了验证该检测系统,论文设计了测试方案,并在实验室搭建了测试环境,进行了验证。实验结果表明,论文所实现的检测系统能够有效的检测分布式僵尸网络。
【关键词】：僵尸网络 流量分析 时空相关性
【学位授予单位】：电子科技大学
【学位级别】：硕士
【学位授予年份】：2016
【分类号】：TP393.08
【目录】：

• 摘要5-6
• ABSTRACT6-9
• 第一章 绪论9-16
• 1.1 研究的背景与意义9-10
• 1.2 研究现状10-14
• 1.3 研究内容14-15
• 1.4 本论文的结构安排15-16
• 第二章 僵尸网络特征解析16-33
• 2.1 僵尸网络的发展和分类16-20
• 2.2 僵尸网络基本要素20-25
• 2.3 僵尸网络生命周期分析25-29
• 2.4 基于僵尸网络特征的检测技术29-32
• 2.5 本章小结32-33
• 第三章 基于时空相关关系的检测模型设计33-44
• 3.1 分布式僵尸网络检测概述33-34
• 3.2 分布式僵尸网络的时空相关关系34-36
• 3.3 基于时空相关关系的检测框架36-43
• 3.3.1 数据包聚合38-39
• 3.3.2 时空相关关系获取39-41
• 3.3.3 检测41-43
• 3.4 本章小结43-44
• 第四章 检测模型的实现44-58
• 4.1 数据包聚合模块的实现44-50
• 4.1.1 原始数据包获取44-48
• 4.1.2 数据包聚合48-49
• 4.1.3 数据包过滤49-50
• 4.2 时空相关关系获得模块的实现50-54
• 4.2.1 二层时空相关关系获取51-52
• 4.2.2 多层时空相关关系提取52-54
• 4.3 僵尸网络检测模块的实现54-57
• 4.4 本章小结57-58
• 第五章 检测模型测试与分析58-74
• 5.1 实验环境部署58-61
• 5.1.1 实验环境拓扑58-59
• 5.1.2 实验环境配置59-61
• 5.2 实验场景61-66
• 5.3 实验结果分析66-70
• 5.4 检测框架评估70-71
• 5.5 僵尸网络预防措施71-72
• 5.6 本章小结72-74
• 第六章 全文总结与展望74-76
• 6.1 全文总结74-75
• 6.2 后续工作展望75-76
• 致谢76-77
• 参考文献77-80
• 在学期间取得的与学位论文相关的研究成果80-81

【参考文献】

中国期刊全文数据库 前3条

1 方滨兴;崔翔;王威;;僵尸网络综述[J];计算机研究与发展;2011年08期

2 柴胜;胡亮;梁波;;一种p2p Botnet在线检测方法研究[J];电子学报;2011年04期

3 诸葛建伟;韩心慧;周勇林;叶志远;邹维;;僵尸网络研究[J];软件学报;2008年03期

中国博士学位论文全文数据库 前1条

1 王威;僵尸网络对抗技术研究[D];哈尔滨工业大学;2010年

，

本文编号：935685