僵尸网络的检测技术研究

介绍了僵尸网络的组织结构及其危害,剖析了基于IRC协议及其他命令控制方式的僵尸网络的检测方法,并对检测技术的发展进行了展望。     

基于动态聚类算法的IRC僵尸网络检测

为了快速定位局域网中存在的僵尸网络,提高网络管理效率,通过对IRC僵尸网络运行机制的深入研究,结合经典数学定义在三层交换机上抓取流量并做预处理,按照流量数据的相同元素(源地址,目的地址)划分集合并得到三个向量(IRC命令、包速率和包大小)集合,基于改进的k- means动态聚类算法,合理定义时间滑动窗口,对数据集的三个...     

基于关联规则挖掘的集中式僵尸网络检测

针对目前大部分僵尸网络检测技术只是对活动的僵尸计算机进行检测,而很少考虑潜伏的僵尸计算机检测问题,提出一种基于关联规则挖掘的集中式僵尸网络检测技术.根据集中式僵尸网络必定存在一台命令控制服务器,且所有僵尸计算机都会连线到命令控制服务器的特性,利用一台已被检测出的僵尸计算机,以关联规则挖掘技术分析彼此之间网络连线的关联性,扩展挖掘出网络中其他尚处于潜伏期的僵尸计算机.实验证明,本方法能够有效地检测出隐藏的僵尸计算机.     

树状僵尸网络及其特征检测方案的设计

僵尸网络是目前互联网安全领域最严重的威胁之一,与传统的IRC僵尸网络相比,树状僵尸网络有其实现起来相对简单的特点,因而现今在网络上开始迅猛流行起来．本文简要介绍了传统僵尸网络的防御方法,给出了一级控制的树状僵尸网络的网络拓扑图,在此基础上提出了一种基于树状的僵尸网络的检测方案。包括其设计思路、规则库的建立,给出了本方案的创新点．事实证明,本方案对准确定位僵尸网络及找到其幕后控制者可以起到良好的效果．     

基于快速神经网络的HTTP僵尸网络检测算法

僵尸网络已成为目前互联网安全所面临的严重威胁之一.经过10余年发展,僵尸网络已从使用传统的IRC协议向HTTP协议进行转变,给检测及防御等方面造成了诸多困难.通过分析基于HTTP协议僵尸网络所产生流量,在得出相关TCP协议统计信息、僵尸活动的间隔时间等特征的基础上,提出将快速学习神经网络模型(Extreme Learning Machine,ELM)用于识别和检测HTTP僵尸网络.实验表明,该方法能有效从网络流量中检测出BlackEnergry,Bobax等HTTP僵尸网络.与决策树C4.5、SVM算法及传统的BP算法相比较,该方法具有较高的识别率和较低的误报率.     

移动僵尸网络研究

随着移动互联网的高速发展、4G业务的普及和手机硬件性能的提升,僵尸网络也逐渐从传统网络向移动网络发展。因此关注移动僵尸网络已有的研究成果和发展趋势十分必要。在介绍了移动僵尸网络所带来的危害和传播方式的基础上,对移动僵尸网络的命令控制信道进行总结和归纳,将信道总体分为寄生信道和独立信道。重点讨论了移动僵尸网络的传播模型,从传统的经典病毒传播模型到移动僵尸网络的mathematical-based模型和simulator-based模型。讨论了移动僵尸网络的检测方法,将其分为静态检测和动态检测两种类型,在静态检测中对基于数据流(Data Flow)的检测框架进行了分析。最后,综合分析了当前移动僵尸网络研究所遇到困难和其发展趋势。     

基于多维信息散度的僵尸网络快速检测方法

提出了一种基于多维度信息散度的僵尸网络快速检测方法.首先将网络流量中多个流量属性的概率分布按时间序列表征为多维信息散度向量,然后建立自回归滑动平均(ARMA)模型以检测该向量是否异常,藉此判断网络流量中是否含有僵尸网络CC(命令与控制)流量.实验表明:该方法不依赖先验知识,能高效准确地检测出网络流量中是否含有僵尸网络CC流量,具有很好的通用性、实时性以及较低的误检率.     

基于P2P的僵尸网络C&C设计与仿真

近些年来,基于P2P的僵尸网络凭借其网络通信的隐蔽性和网络连接的健壮性特点,逐渐成为国内外研究的热点。针对两层架构的P2P僵尸网络的命令控制(Command and Control简称CC)协议进行了深入探讨与分析,并设计了超级节点更新邻居节点的算法,超级节点分发命令算法,并将公钥加密算法应用到P2P僵尸网络的命令控制协议中,增加了僵尸网络通信的隐蔽性和网络的健壮性。同时,对该类型的僵尸网络中普通节点接收命令时的流量和超级节点转发命令时的流量进行了模拟仿真,仿真结果证明了节点的心跳流量和命令流量与用户的正常上网流量相比较而言微乎其微。最后,对该类型的P2P僵尸网络提出了防御策略的相关建议。     

域名请求行为特征与构成特征相结合的域名变换检测

针对僵尸网络为避免域名黑名单封堵而广泛采用域名变换技术的问题,提出一种域名请求行为特征与域名构成特征相结合的僵尸网络检测方法.该方法通过支持向量机(SVM)分类器对网络中主机解析失败的域名进行分析,提取出可疑感染主机;通过新域名聚类分析,将请求同一组新域名的主机集合作为检测对象,分析请求主机集合是否由可疑感染主机构成,提取出僵尸网络当前使用的域名集合以及命令与控制(Command and Control,C&C)服务器使用的IP地址集合.实验结果表明:训练后SVM分类器可达98.5％以上的准确率;经对ISP域名服务器监测,系统可准确提取出感染主机和C&C服务器的IP地址.     

移动僵尸网络的设计及分析

为了更好的对移动僵尸病毒传播方式及命令与控制网络进行研究,提出一种基于SMS-HTTP的移动僵尸网络模型。该文利用多差树结构和混合P2P结构建立高效的命令与控制网络,给出移动僵尸病毒传播算法、命令与控制网络构建算法和僵尸节点加入算法。通过对网络模型的度和高度的平衡,对网络的节点规模、联通性和安全性进行控制。实验环境中,当模型高度为6、度为8时,模型节点规模最多可达到21万。当模型节点规模为10万时,模型的连通率可在5跳内达到100%。结果表明:模型具有较好的可扩展性,可使模型具有较高的连通率和安全性。     

基于Android的僵尸网络设计与实现

针对移动智能终端因发起攻击而导致大量个人隐私数据泄露的问题, 以互联网僵尸网络技术为基础,面向Android 平台设计并实现了移动僵尸网络。该移动僵尸网络基于微博控制, 对移动智能终端可完成信息窃取、信息破坏、垃圾短信等攻击。同时, 对移动僵尸网络的特性进行深入分析, 寻找攻击漏洞, 给出具有针对性的网络安全防御策略。研究结果表明, 该设计可提高移动智能终端的安全性, 降低移动僵尸网络对个人用户造成的损失, 有助于进一步对移动僵尸网络的传播、命令控制机制及控制协议的研究。     

一种移动僵尸网络评估模型研究

为了能够更加客观系统地反映移动僵尸网络的运行情况和攻击能力,设计了一个针对移动僵尸网络的评估模型。借鉴通用漏洞评分系统(CVSS)部分思想,将移动僵尸网络性能指标分成三大群组,每个群组又进行了层次的划分,并对每个性能指标进行了量化,提出了正性指标、负性指标和中性指标的概念,并使用了调节系数将性能指标控制在一个合适的取值范围内。最后,使用了该模型对3个移动僵尸网络进行了评论,并得出了评估结论。     

BotNet病毒检测与预防的研究

本文研究基于僵尸网络的DDoS特征,分析了僵尸网络病毒BotNet的特点与控制机制,通过蜜网和日志分析方法检测DDoS,并使用CWSandbox对仿真的僵尸网络进行分析,检测出其比较典型的行为特征。     

基于树突细胞算法的P2P僵尸程序检测

随着僵尸网络带来越来越多的网络安全威胁,一种新的使用P2P协议的僵尸程序广泛出现。由于P2P僵尸网络不存在中心控制点而很难对其进行关闭或者追踪,从而使P2P僵尸网络的检测非常困难。为了应对这些威胁,根据免疫系统中的树突细胞的功能,提出了基于树突细胞算法用于检测个体主机中的僵尸程序的模型,并且给出了检测方法。用于检测P2P僵尸程序的原始数据通过APItrace工具获得,进程(包括正常进程和僵尸程序进程)的ID被映射为"抗原",进程所产生的行为数据被映射为"信号",它们组成了检测算法的时间序列输入数据并用于数据融合和相互关联。相关实验表明,文中所提出的方法可以实现P2P僵尸程序的检测。     

僵尸网络控制中心攻击转移模式分析

随着信息技术的发展,僵尸网络的攻击手法也日新月异,研发有效的解决办法迫在眉睫．目前的僵尸网络自身已经具备了安全保护的机制,特别是僵尸网络控制中心采用了攻击转移模式,也就是通过控制中心将某僵尸网络控制权转移给另一控制对象的技术．研究将呈现僵尸网络的控制与防护技术的相关特性,进而提出新的防御手法作为僵尸网络攻击转移现象的检测和防御基础．经实验证明,研究结果有效提高了僵尸网络搜索的准确率,而且随着网络拓扑结构复杂度的增加,其执行效率的优势也更加明显．     

基于DNS通信数据挖掘的Botnet检测方法研究

利用僵尸网络(Botnet)进行的各种恶意活动如DDoS、垃圾邮件、网络钓鱼等成为一个现实且发展迅速的问题.本文提出了一种通过分析DNS通信检测僵尸网络的方法.因为DNS通信中包含的信息有限,通常不易区分一个DNS查询是由正常的还是恶意的活动引起,为此我们使用RIPPER算法对DNS通信数据进行挖掘.系统在真实校园网环境中的测试结果验证了此方法的有效性,给出了使用数据挖掘方法建立快速准确的僵尸网络检测系统的可能.     

一种基于bot优先抽样的P2P botnet 在线检测技术

僵尸网络利用高效灵活的一对多控制机制,为攻击者提供了储备、管理和使用网络攻击能力的基础架构和平台,已成为当前Internet最严重且持续增长的安全威胁之一。为满足在高速网络实时检测P2P僵尸网络的需求,提出了一种基于bot优先抽样的在线检测技术。该方法利用bot优先的分级算法和基于优先级的包抽样算法,使得检测系统能够高效利用计算资源,在整体抽样率有限条件下,优先对疑似P2P僵尸通信数据包进行抽样,并使用流信息重构技术和流簇分析技术对抽样包进行统计分析来发现P2P僵尸主机。实验结果表明,所提出的在线检测技术能够有效提高对疑似P2P僵尸网络流量亚群的包抽样率,具有良好的在线检测效率和P2P僵尸检测命中率。     

基于CNN的假冒域名识别方法研究

近年来,以僵尸网络为载体的各种网络攻击活动是目前互联网面临的安全威胁之一,各种恶意软件使用域名生成算法(domain generation algorithm, DGA)自动生成大量伪随机域名以连接到命令和控制服务器.为此提出以基于卷积神经网络(CNN)的方法来检测和分类伪随机域名.简要介绍了僵尸网络的危害、基本原理以及假冒域名在僵尸网络中的作用.在分析DGA算法的原理以及传统的DGA域名识别算法的缺陷以后,将重点放在基于卷积神经网络的假冒域名识别方法研究.阐述了关于卷积神经网络的基本概念,模拟了在不同的超参数,不同的激励函数下模型对于解决分类问题效果的差异.分析了数据预处理的原理、模型定义中对于超参数和激励函数、学习速率等选择的合理性.在模型运行结果分析时,给出了卷积神经网络模型识别域名的准确率和损失函数的变化,使用准确率、召回值、F₁值、ROC曲线等评估指标,各项指标均显示模型取得了优秀的分类效果,证明了基于CNN的假冒域名识别是一个可靠的方法.     

基于代理控制力的Fast-Flux僵尸网络检测方法

本文基于Fast-Flux僵尸网络对僵尸代理机器控制能力的分析,提出了一种实时检测Fast-Flux僵尸网络的方法,该方法可以通过主动提交DNS查询或者被动分析DNS响应数据包以度量可疑域名相映射IP地址的均匀分布率和平均可服务率以鉴别该域名是否是Fast-Flux域名.通过利用支持向量机(SVM)的实验表明,该方法具...     

基于流量图的僵尸网络检测技术分析

基于常见协议的僵尸网络通信图结构和特征, 对比分析了它们的功能和工作机制及现有基于流量图僵尸网络检测方法的使用环境、 实验数据、 结果和方法的优缺点, 并提出了僵尸网络检测技术的改进措施.