基于流量分析的僵尸网络检测技术研究与实现

《基于流量分析的僵尸网络检测技术研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、—；ｆ＊Ｔ４击种成Ｊ：杳ＥＣＴＲＯＮＣＩＴＥＣＨＮＯＬＯＧＹＯＦＣＨＩＮＡＵＮＩＶＥＲＳＦＥＬＩＳＣＥＭＣｌＡＫＤＩＴＹＯ硕±学位论文ＭＡＳＴＥＲＴＨＥＳＩＳ－—＇巧内１、．＊，－护，，＊＊＂５：７巧苟论支题目基于流量分析的僵尸网络检测技术妍究与实现学科专业计算机应用技术）学号２０１３２１０６０３４７ＩＩｉＭｉｌ■＂■ＬＭＪｌ■■■■！—１＾—作者姓名张哲铭－指导教师侯孟书教授独剑性声明本人芦明所呈交的学位论文是本人在导师指导Ｋ进行的研究工

2、作。及取得的研究成果据我所知，除了文中特别加标注和致谢的地方夕ｈ论文中不包含巧他人已经发衷或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一巧工作的巧志对本研究所做的任何贡献均已在论文中作了明欄的说明并巧示谢意。ｈ－ｈｋ作者签名：ｊ円期：年（月□自论文使用授权本学位论义作着完仓了解电子科技大学荷关保留、使用学位论文，的规定有权保留并向園家有关部口或机构送义论文的复印化和撼盘，允巧论文被爸閒和借阅。本人授权电子科技大学可Ｗ将学位论文的全、，缩部或部分内容编入有关数据库进行检索

3、可采用影印印或扫描等复制手段保存、汇编学位论文。（）保密的举位论文在解密后应遵守此规定■＾作者签：名：Ｕ起從导签名义师Ａ＾：日期年月曰分类号密级注1UDC学位论文基于流量分析的僵尸网络检测技术研究与实现（题名和副题名）张哲铭（作者姓名）指导教师侯孟书教授电子科技大学成都（姓名、职称、单位名称）申请学位级别硕士学科专业计算机应用技术提交论文日期2016.3.29论文答辩日期2016.5.20学位授予单位和日期电子科技大学2016年6月答辩委员会主席评阅人注1：注明《国际十进分类法UDC》的类号。ARESEARCHANDIMPLEMENTATI

4、ONOFBOTNETDETECTIONTECHNOLOGYBASEDONTRAFFICANALYSISAMasterThesisSubmittedtoUniversityofElectronicScienceandTechnologyofChinaMajor:ComputerAppliedTechnologyAuthor:ZhangZhemingSupervisor:Prof.HouMengshuSchool:SchoolofComputerscienceandEngineering摘要摘要从采用IRC协议的“eggdropbot”到高度模块化的AgoBot，僵

5、尸程序从最初的网络聊天室辅助软件，逐渐成为威胁网络安全的主流恶意软件之一。在僵尸网络的攻防博弈中，IRC协议被HTTP、P2P等协议取代，并利用fast-flux，Domain-flux，URL-flux等技术加强僵尸网络通信的隐蔽性。同时，僵尸网络也摒弃了传统的中心式C&C（CommandandControl）信道结构，采用了更加灵活和健壮的分布式C&C信道结构。异常分析、DNS流量检测及流量聚类检测等僵尸网络检测手段是当前较为常见的检测手段。然而，这些检测手段存在部署困难、难以应用于分布式僵尸网络的检测等缺点。为了有效的对分布式僵尸网络进行检测，论文对分布式

6、僵尸网络的生命周期、组成要素等重要特征进行了分析研究，发现分布式僵尸网络中的节点之间的通信数据包具有时空相关性。而这种相关性可以采用流量分析技术进行检测，论文将时空相关性这一检测点与流量分析技术相结合，设计并实现了基于时空相关性的僵尸网络检测系统，该检测系统通过分析被检测网络中的通信流量，最终得出检测结果。该检测系统由数据包聚合模块、时空相关关系获取模块及僵尸主机检测模块构成。数据包聚合模块首先抓取原始的网络数据包，然后按照数据包之间的时空相关性将原始数据包进行聚合。时空相关关系获取模块负责对满足时间间隔阈值和出现次数阈值的可信二层相关关系进行提取，然后在此基础

7、上，进行多层相关关系的获取。僵尸网络检测模块采用层次聚类算法，将小于距离阈值的主机节点聚合为一个簇，直到簇的数目不再发生变化，从而完成最终的检测，找出可能的僵尸主机。为了验证该检测系统，论文设计了测试方案，并在实验室搭建了测试环境，进行了验证。实验结果表明，论文所实现的检测系统能够有效的检测分布式僵尸网络。关键词：僵尸网络，流量分析，时空相关性IABSTRACTABSTRACTFrom"dropbotegg"whichuseIRCprotocoltohighlymodularAgoBot,zombieprogramstartasthenetworkchatroo

8、mauxiliaryso