基于邮件特征匹配的Bomet检测方法.pdfVIP

计算机工程与设计 ComputerEngineeringandDesign 2010，31(1) 45 ·信息安全技术 · 基于邮件特征匹配的Botnet检测方法 范轶彦 ， 邬国锐 (1．湖南文理学院 国家Linux技术培训与推广中心，湖南 常德 415000； 2．北京大学 软件与微电子学院，北京 100871) 摘 要：为降低特征提取的复杂度，提 高分类速度 ，提出了一种基于邮件特征匹配的僵尸网络检测方法。不依赖于邮件具体 内容和网络流量分析，通过对原始邮件进行概化 ，进而得到邮件特征值，然后利用海林格距 离在僵尸网络邮件特征库中找 到最匹配的值，从而检测发送垃圾邮件的僵尸网络类型。实验结果表明，该方法在预构建特征库的情况下对大量邮件进行 分析 ，具有较 高的效率和正确率 。 关键词：僵尸网络；垃圾邮件 ；邮件 内容；特征分析；海林格距 离 中图法分类号：TP393．08 文献标识码：A 文章编号：1000—7024(2010)0l一0045—03 Botnetdetectionmethodbasedonemailcharacteristicmatch FAN Yi—yan． WU Guo—rui (1．NationalLinuxTechnologyTrainingandDevelopmentCenter,HunanUniversityofArtsandScience，Changde415000， China；2．SchoolofSoftwareandMicroelectronics，Pe~ngUniversiyt,Beijing100871，China) Abstract：TodecreasethecomplexityofBotnetcharacteristicextractionandimprovehtespeedofclassification， aBotnetdetection methodbasedonEmailcharacteristicmatch．whichreliesonneitherEmaildetailedcontentsnortrafficanalysisiSpresented．Rawemails areabstractedandEmailchraacteristicsraegenerated．HellingerdistanceiSusedtofindthemostmatchchraacteristicinBotnetEmai1 chraacteristicrepository,thentheBotnetthatsendthespam isclassified．Experimentalresultsshow thathteproposedmethodgained goodaccuracyandhighefficencyifenoughspam Emailsraetrainedna dBotnetEmailcharacteristicrepository iswellgenerated． Keywords：Botnet； spam ；Emai1content；chraacteristicnaalysis；Hellingerdistance 邮件服务器 的流量属性，提 出了一个 邮件签名生成模型来检 0 引 言 测基于Botnet的垃圾邮件。并且通过大量邮件的分析，描述 僵尸网络(Botnet)是指采用一种或多种传播手段，将大量 了BotnetIP地址、邮件发送模式及其与网络流量扫描结果之 主机感染bot程序(僵尸程序)，从而使控制者(master)和僵尸主 间的关系 。文献[7】中AnestisKraasaridis等人通过分析选定网 机(bot)之间形成 了一个一对多的网络 。由于 Botnet包含的bot 络链接上 的大量流量数据 ，提 出了一种可伸缩 的非入侵式算 数量非常庞大 ，因而 由Botnet弓l发的恶意攻击事件如分布式