基于流量特征的IRC僵尸网络检测技术研究

论文摘要

计算机网络在全球范围内迅速普及同时,也带来了很多安全方面的问题,近年来,僵尸网络作为一种新型的攻击方式正在互联网中迅速蔓延,给互联网的安全造成了严重的威胁以及巨大的损失,对中国大陆造成的危害尤为严重,因而急需一种针对僵尸网络的准确高效的检测技术。目前互联网上比较流行的僵尸网络大多是基于IRC协议,所以本论文主要研究对象就是基于IRC协议的僵尸网络。僵尸网络检测所使用的主要研究方法大概分为三种,分别为设置蜜网蜜罐获得僵尸网络属性的检测方法、基于行为特征的检测方法以及基于流量特征的检测方法。基于流量特征的检测相对来讲没有前两种检测技术成熟,存在误报率较高的问题。本文深入研究了IRC协议以及基于IRC协议的僵尸网络的基本特征。首先,将原始流量数据包通过了过滤和分类等一系列的预处理阶段,得到了可用于检测的高质量的数据集。其次针对IRC协议僵尸网络的行为及流量进行了大量实验,通过对结果的统计分析,得到了如IRC命令比例、平均数据包大小和协同攻击时间等重要的流量特征,这些流量特征正是IRC协议僵尸网络检测的核心。并且,本文针对整个受控频道内的所有客户端进行僵尸网络特征的研究,而不是针对单个客户端,克服了以往误报率高的缺点,大大提高了僵尸网络检测的准确率。随后,本文提出了一种新的检测思路,即结合可疑端口与僵尸网络之间的协同攻击时间,并综合分析被检测网络与僵尸网络特征的符合情况,最终确定僵尸网络的存在,从而实现了基于流量的IRC僵尸网络检测功能。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 课题背景与研究意义
• 1.2 国内外研究现状
• 1.3 本文的主要研究内容及组织结构
• 1.3.1 本文的主要研究内容
• 1.3.2 本文的组织结构
• 1.4 本章小结
• 第2章 僵尸网络基础及相关理论
• 2.1 IRC协议的简介
• 2.2 僵尸网络概述
• 2.2.1 僵尸网络的定义
• 2.2.2 僵尸网络的分类
• 2.2.3 僵尸网络的危害
• 2.2.4 僵尸网络的工作原理
• 2.2.5 僵尸网络的检测方法
• 2.3 网络数据捕获及分析技术
• 2.3.1 网络数据的捕获原理
• 2.3.2 数据包捕获开发包简介
• 2.3.3 网络数据的分析
• 2.4 本章小结
• 第3章 IRC僵尸网络流量检测模型研究
• 3.1 IRC僵尸网络流量研究方法
• 3.2 IRC僵尸网络的流量特征
• 3.2.1 端口特征
• 3.2.2 IRC命令
• 3.2.3 数据包大小
• 3.2.4 同步机制
• 3.3 IRC僵尸网络流量检测模型
• 3.3.1 模型的提出
• 3.3.2 模型的原理分析
• 3.3.3 模型的构建过程
• 3.3.4 模型的正确性验证
• 3.4 本章小结
• 第4章 IRC僵尸网络流量检测模型的设计与实现
• 4.1 开发环境
• 4.2 模型的总体框架的设计
• 4.3 关键模块的详细设计与实现
• 4.3.1 过滤模块
• 4.3.2 分类模块
• 4.3.3 流量特征模块
• 4.3.4 可疑端口模块
• 4.3.5 拓扑分析模块
• 4.4 本章小结
• 第5章 IRC僵尸网络流量检测实验与结果分析
• 5.1 实验环境的搭建
• 5.1.1 服务器端
• 5.1.2 客户端
• 5.2 IRC僵尸网络流量检测实验
• 5.2.1 IRC命令使用比例
• 5.2.2 平均包研究
• 5.2.3 服务器端与客户端流量关系
• 5.2.4 可疑端口研究
• 5.3 检测结果与分析
• 5.4 本章小结
• 结论
• 参考文献
• 致谢