蠕虫型僵尸工具的传播模型及检测技术研究

论文摘要

分布式拒绝服务(DDoS)攻击已经给互联网带来了极大的危害,僵尸网络(Botnet)作为攻击者选择的最主要工具,是反击分布式拒绝服务攻击的首要目标。由于僵尸网络不是个体病毒的感染发作,而是一个或多个攻击性网络的建立,以及在特定时间内对特定对象的群体式攻击,因此僵尸网络的建立过程尤其值得研究和关注。僵尸网络的建立依赖于僵尸工具的传播,若不考虑攻击节点向控制中心的注册及双方的交互过程,可将僵尸工具的传播过程看作僵尸网络的组网过程。而对僵尸工具的检测是阻碍僵尸网络进一步发展和破坏现有僵尸网络的手段之一。因此以僵尸工具的传播和检测作为研究僵尸网络的切入点,是僵尸网络研究中很必要的一个课题。本文以IRC(Internet Relay Chat)僵尸网络为研究背景,针对其即时聊天工具组成的网络特点,选取其中以蠕虫方式传播的僵尸工具作为研究的切入点,主要完成了以下三个方面的工作。第一,建立了基于无尺度网络拓扑的蠕虫型僵尸工具传播模型。本文通过对蠕虫型僵尸工具的特征和僵尸网络的复杂性网络拓扑的研究,认为无尺度网络是最适合描述由蠕虫型僵尸工具感染而形成的IRC僵尸网络的网络模型。在此模型下,改进了当前建立在完全连接网络模型下的蠕虫型僵尸工具的传播模型,重点考虑了集散节点对于僵尸工具传播的影响,提出了无尺度网络下的双因素传播模型。仿真分析表明,本文所提出的模型在初始传播的延迟性上处理较好,并且移除曲线更加平缓,更接近于实际观测曲线,取得了较好的模拟效果。第二,提出了分段处理的概率字符串匹配算法。传统的模式匹配算法是解决两个字符串之间的相似性问题,而对于一些被噪声影响的攻击信息或利用会话拼接、信息分散等技术的攻击手段却无能为力。本文提出的分段处理的概率字符串匹配算法,将问题转化成求模式串中至少有1/p的字符顺序地出现在文本串中,可有效地解决上述传统模式匹配算法的缺陷。该算法是基于基本动态规划概率匹配算法的改进,兼具概率匹配算法和正则匹配的特点,可实现在线匹配,使漏报率更低。其最好情况下的复杂度为O(m~2/log m),最坏情况下也不超过O(mn),同时本文算法还能够兼容动态规划概率匹配算法效率的进一步发展。最后,本文设计开发了一个基于主机的僵尸工具检测系统,并对现有的僵尸网络反制技术进行了总结。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 研究目的及意义
• 1.2 研究背景
• 1.3 本文的主要工作
• 1.4 内容组织
• 第二章 僵尸网络及蠕虫型僵尸工具特征分析
• 2.1 僵尸网络
• 2.2 病毒计算模型
• 2.2.1 基于图灵机的模型
• 2.2.2 基于递归函数的模型
• 2.2.3 几种病毒计算模型的比较
• 2.3 蠕虫特征及传播方式
• 2.3.1 蠕虫概述
• 2.3.2 蠕虫的行为特征
• 2.3.3 蠕虫技术的发展
• 2.3.4 蠕虫传播策略
• 2.3.5 即时消息蠕虫（IM Worm）特征
• 2.4 典型僵尸工具的特征
• 2.4.1 Agobot
• 2.4.2 SDBot
• 2.4.3 SpyBot
• 2.4.4 GT Bot
• 2.4.5 典型僵尸工具的比较
• 2.5 僵尸网络传播机制
• 2.6 僵尸网络命令与控制机制
• 2.7 小结
• 第三章 无尺度网络下蠕虫型僵尸工具传播模型研究
• 3.1 僵尸网络的复杂性网络特征
• 3.1.1 复杂网络的概念和特征分类
• 3.1.2 僵尸网络复杂性网络模型
• 3.1.3 基于IRC的即时消息僵尸网络的无尺度网络特征
• 3.2 蠕虫型僵尸工具传播模型
• 3.2.1 IRC蠕虫型僵尸工具的工作方式和完全连接网络模型
• 3.2.2 当前蠕虫型僵尸工具的传播模型
• 3.3 无尺度网络模型
• 3.4 无尺度网络下的双因素传播模型
• 3.5 传播模型仿真与评价
• 3.6 小结
• 第四章 僵尸工具的概率匹配算法研究
• 4.1 模式匹配技术
• 4.1.1 传统模式匹配技术
• 4.1.2 传统模式匹配算法的不足之处
• 4.1.3 概率字符串匹配
• 4.2 分段处理的概率字符串匹配检测算法
• 4.2.1 基本算法
• 4.2.2 加入了回溯策略的完整算法
• 4.2.3 算法复杂度分析
• 4.2.4 算法测试
• 4.3 模式匹配算法在基于主机的文件检测系统中的应用
• 4.3.1 需求定义
• 4.3.2 软件设计与开发
• 4.3.3 软件测试
• 4.4 小结
• 第五章 蠕虫型僵尸网络反制技术研究
• 5.1 防御技术
• 5.1.1 基于路由器拥塞控制的恶意数据流网络控制技术
• 5.1.2 蠕虫防御技术
• 5.1.3 僵尸网络防御技术
• 5.2 检测技术
• 5.2.1 蠕虫检测技术
• 5.2.2 入侵检测系统
• 5.2.3 基于行为特征的检测
• 5.2.4 蜜罐与蜜网技术
• 5.3 追踪技术
• 5.3.1 在攻击目标机上实施的追踪
• 5.3.2 在僵尸机上实施的追踪
• 5.4 摧毁技术
• 5.4.1 无尺度网络模型驱动的反制模型
• 5.4.2 利用时区建立的反制模型
• 5.5 几种反制技术的比较
• 5.6 小结
• 第六章 结束语
• 6.1 工作总结
• 6.2 未来的研究工作
• 致谢
• 参考文献
• 附录
• 作者攻硕期间的工作
• 修改提纲