基于行为特征的IRC僵尸网络检测方法研究

论文摘要

僵尸网络是在网络蠕虫、特洛伊木马、后门工具等传统恶意代码形态的基础上发展、融合而产生的一种新型攻击方式。通过僵尸网络可以发送垃圾邮件、窃取个人信息、发动拒绝服务攻击等,是目前国际网络安全领域最为关注的威胁之一。本文首先介绍了僵尸网络的定义和相关概念,研究僵尸网络工作原理和生命周期,重点剖析了不同协议类别僵尸网络的命令与控制机制,阐述了基于时区的僵尸网络传播模型,并对僵尸网络跟踪、检测和防御研究领域的方法进行总结。在此基础上深入研究IRC僵尸网络运行机制,分析僵尸程序与控制服务器交互的网络行为特征,提出了针对IRC僵尸网络形成初期的检测方法:昵称检测、控制命令检测和命令序列相似性检测。昵称检测通过分值计算、多正则式匹配和频道昵称距离检测僵尸主机。控制命令检测采用AC多模匹配增效算法查找僵尸网络命令关键字。命令序列相似性检测依据同频道聊天主机发送命令内容相似度来发现僵尸网络。三种检测方法面向登录过程不同阶段,检测结果互补,提高了僵尸网络检测率。最后设计并实现了IRC僵尸网络实时检测系统,在骨干网部署实验,检测出僵尸主机占IRC聊天主机比例约80%,取得了较好的检测结果。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 课题背景
• 1.2 研究目的及意义
• 1.3 该领域研究现状
• 1.4 论文的组织结构
• 第2章 僵尸网络相关研究
• 2.1 僵尸网络概念、分类及生命周期
• 2.1.1 僵尸网络概念及特点
• 2.1.2 僵尸网络生命周期
• 2.1.3 僵尸网络分类及控制机制
• 2.2 僵尸网络传播模型
• 2.3 僵尸网络跟踪、检测与防御
• 2.3.1 僵尸网络跟踪
• 2.3.2 僵尸网络检测
• 2.3.3 僵尸网络防御与反制
• 2.4 本章小结
• 第3章 IRC 僵尸程序捕获与行为特征分析
• 3.1 IRC 僵尸程序捕获
• 3.2 IRC 僵尸网络行为特征分析
• 3.2.1 僵尸程序与控制服务器通信分析
• 3.2.2 控制者与控制服务器通信分析
• 3.2.3 僵尸网络行为特征总结
• 3.3 本章小结
• 第4章 IRC 僵尸网络检测方法研究
• 4.1 昵称检测机制
• 4.1.1 Scoring Function
• 4.1.2 多正则式匹配
• 4.1.3 频道昵称距离
• 4.2 控制命令检测机制
• 4.2.1 检测机理
• 4.2.2 AC 多模匹配增效算法
• 4.3 命令序列相似性检测
• 4.3.1 命令序列分析
• 4.3.2 相似度算法
• 4.4 本章小结
• 第5章 IRC 僵尸网络检测系统设计与实现
• 5.1 高性能捕包平台
• 5.1.1 零拷贝技术
• 5.1.2 多线程TCP/IP 协议栈
• 5.1.3 平台插件技术
• 5.2 IRC 僵尸网络检测插件
• 5.3 实验分析
• 5.3.1 实验环境
• 5.3.2 结果分析
• 5.4 本章小结
• 结论
• 参考文献
• 攻读学位期间发表的学术论文
• 致谢