基于數(shù)據(jù)流特征向量識(shí)別的P2P僵尸網(wǎng)絡(luò)檢測(cè)方法研究.pdf

1、僵尸網(wǎng)絡(luò)是目前被公認(rèn)的最具威脅的網(wǎng)絡(luò)安全問(wèn)題之一。僵尸網(wǎng)絡(luò)是指通過(guò)在網(wǎng)絡(luò)傳播傳統(tǒng)的惡意代碼(計(jì)算機(jī)病毒、網(wǎng)絡(luò)蠕蟲(chóng)、木馬),發(fā)現(xiàn)易感染節(jié)點(diǎn),將其納入自身控制網(wǎng)絡(luò)之內(nèi),進(jìn)而利用這些節(jié)點(diǎn)實(shí)施大規(guī)模惡意攻擊的平臺(tái)。由于僵尸網(wǎng)絡(luò)的隱蔽性、破壞性遠(yuǎn)遠(yuǎn)強(qiáng)于普通網(wǎng)絡(luò)攻擊,成為近年來(lái)最為流行的網(wǎng)絡(luò)攻擊方式。
　　早期的僵尸網(wǎng)絡(luò)主要包括基于IRC協(xié)議的和基于HTTP協(xié)議的兩種,都是通過(guò)具有中心控制能力的節(jié)點(diǎn),進(jìn)行命令與控制信息的分發(fā),將易感染節(jié)點(diǎn)加入

2、到這個(gè)網(wǎng)絡(luò)中,這一時(shí)期的僵尸網(wǎng)絡(luò)主要通過(guò)固定的端口、協(xié)議來(lái)進(jìn)行控制信息傳輸(協(xié)議中攜帶特定的字符串)。目前國(guó)內(nèi)外研究學(xué)者提出了通過(guò)對(duì)特定端口的監(jiān)聽(tīng)以及對(duì)協(xié)議中特定字符串的識(shí)別,能夠高效識(shí)別出這類(lèi)僵尸網(wǎng)絡(luò)。隨著P2P技術(shù)以及僵尸網(wǎng)絡(luò)的發(fā)展,P2P僵尸網(wǎng)絡(luò)產(chǎn)生,該類(lèi)型僵尸網(wǎng)絡(luò)實(shí)現(xiàn)了僵尸網(wǎng)絡(luò)控制的非中心化,優(yōu)化了傳統(tǒng)僵尸網(wǎng)絡(luò)的依靠中心節(jié)點(diǎn)進(jìn)行命令和控制分發(fā)的弊端,給僵尸網(wǎng)絡(luò)檢測(cè)帶來(lái)一定的困難。
　　目前,關(guān)于P2P僵尸網(wǎng)絡(luò)的檢測(cè)方法主要

3、分為四類(lèi):基于終端節(jié)點(diǎn)、基于網(wǎng)絡(luò)流量、基于協(xié)議特征和基于行為特征的檢測(cè)?；诮K端節(jié)點(diǎn)的檢測(cè)主要目標(biāo)是檢測(cè)所監(jiān)控主機(jī)中的惡意代碼和可疑的活動(dòng),對(duì)于包含中心節(jié)點(diǎn)的P2P僵尸網(wǎng)絡(luò)具有較好的檢測(cè)效果,但對(duì)于其他類(lèi)型P2P僵尸網(wǎng)絡(luò)檢測(cè)誤報(bào)率較高;后兩者分別通過(guò)網(wǎng)絡(luò)通信協(xié)議識(shí)別以及應(yīng)用層特征識(shí)別,對(duì)P2P僵尸網(wǎng)絡(luò)進(jìn)行檢測(cè),這兩類(lèi)方法對(duì)特定協(xié)議的P2P僵尸網(wǎng)絡(luò)具有較好檢測(cè)效果,但通用性較差;基于網(wǎng)絡(luò)流量的檢測(cè)主要通過(guò)分析所監(jiān)控網(wǎng)絡(luò)中網(wǎng)絡(luò)通信流量所表現(xiàn)

4、出的特征和變化規(guī)律,找出P2P僵尸網(wǎng)絡(luò)與其它網(wǎng)絡(luò)之間的網(wǎng)絡(luò)數(shù)據(jù)流特征區(qū)別,具有較好檢測(cè)效果,但目前的檢測(cè)方法并未分析P2P僵尸網(wǎng)絡(luò)在通信過(guò)程中表現(xiàn)出的動(dòng)態(tài)特征。
　　本文在前人研究基礎(chǔ)之上,針對(duì)P2P僵尸網(wǎng)絡(luò)通信過(guò)程所表現(xiàn)出的動(dòng)態(tài)特征提出一種基于數(shù)據(jù)流特征向量識(shí)別的P2P僵尸網(wǎng)絡(luò)檢測(cè)方法?？紤]到網(wǎng)絡(luò)中絕大多數(shù)為正常數(shù)據(jù)流,其來(lái)源或者目的不可能成為僵尸網(wǎng)絡(luò)的攻擊節(jié)點(diǎn),我們首先通過(guò)黑白灰名單的數(shù)據(jù)包過(guò)濾器對(duì)網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行預(yù)處理,結(jié)合構(gòu)

5、建的端口規(guī)則庫(kù)和協(xié)議特征字段識(shí)別庫(kù),對(duì)已有典型協(xié)議的數(shù)據(jù)流進(jìn)行過(guò)濾,標(biāo)識(shí)其中存在可疑流量的數(shù)據(jù)節(jié)點(diǎn)。通過(guò)該預(yù)處理,我們降低了分析樣本的數(shù)量級(jí),便于構(gòu)建僵尸網(wǎng)絡(luò)數(shù)據(jù)流特征向量。在此基礎(chǔ)之上,我們對(duì)網(wǎng)絡(luò)數(shù)據(jù)流按照源、目的分類(lèi),并分析其在橫向時(shí)間維度以及縱向數(shù)據(jù)流之間的數(shù)據(jù)包速率、數(shù)據(jù)包速率變化率、數(shù)據(jù)流字節(jié)速率、數(shù)據(jù)流字節(jié)速率變化率的特征,根據(jù)驗(yàn)證實(shí)驗(yàn)所獲得的各類(lèi)數(shù)據(jù)流的特征閾值,對(duì)數(shù)據(jù)流進(jìn)行二次分類(lèi),從而識(shí)別出具有僵尸網(wǎng)絡(luò)特征的一類(lèi)節(jié)點(diǎn),