僵尸网络生存性的研究.pdfVIP

僵尸网络生存性研究 李雪峰 段海新 吴建平 清华大学计算机科学与技术系，北京，100084 摘要本文首先提出僵尸网络生存性概念，对僵尸网络生存性进行了定义。 分析了僵尸网络及其生存性技术发展历程，并讨论了Storm僵尸网络的生存性 技术与策略，还提出了具有生存性的僵尸网络系统功能结构，定义了僵尸网络的 基本服务。最后讨论了未来的僵尸网络生存性研究方向。 关键词僵尸网络生存性Stormbotnet 一、引 言 僵尸网络(botnets)是综合了网络蠕虫、木马、病毒等恶意代码特征的一种威胁极大 的恶意网络。攻击者利用僵尸网络，可以发起包括拒绝服务攻击、垃圾邮件攻击、网页假 冒、窃取用户账号、获取用户隐私等恶意行为，成为目前Internet上最大的网络安全威胁 之一。近年来，僵尸网络引起了国内外安全界的重视，僵尸网络成为安全领域学术研究和 讨论的焦点之一[1]。目前对僵尸网络的研究主要集中在以下几个方面：僵尸网络的工作 原理、僵尸网络的检测、僵尸网络的移除、僵尸网络未来的发展方向等。 相关文献。由于缺乏对僵尸网络生存性方面的研究，对僵尸网络的检测与防御方案存在 很多不足，也使得信息系统在相关安全机制设计等方面存在一定的隐患。通过对僵尸网 络生存性的研究，可以使我们找到僵尸网络的弱点，有针对性的设计相应的检测与防御体 系，利用优化的策略在同僵尸网络的生存性博弈斗争中，获取最佳的防御效果。因此对于 僵尸网络的生存性技术的研究具有重要的意义。 本文首先给出了僵尸网络的生存性定义，并研究了僵尸网络发展历程中生存性技术 和策略的发展状况。根据目前现实中存在的僵尸网络及其生存性技术的研究，提出了具 有可生存性僵尸网络(survivablebotnets)的功能结构，并根据可生存僵尸网络的功能模 块，定义了僵尸网络的基本服务。最后讨论了未来的僵尸网络生存性研究方向。 二、僵尸网络的生存性定义 行了十几年。虽然一些学者从不同的角度对信息系统的生存性进行了定义，但是目前还 没有一个定义得到一致认可。在这些定义中，Ellison等人对信息系统的生存性定义具有 较广的影响：所谓系统的可生存性，就是系统在遭受攻击、故障和意外事故发生的情况下 及时完成任务能力￡3]。一般来说，一个具有可生存性的系统需要具备4个基本特征：抵抗 ·7】7· 生存性的研究在为信息系统提高生存能力的同时，也被僵尸网络等恶意网络系统引 入到其领域，提高了其生存性，给安全专家在检测和防御这类恶意网络时带来了巨大挑 战。僵尸网络作为一类特殊的信息系统，具有一般信息系统的特点，但也存在很多的不 同。表1给出了一般信息系统与僵尸网络在生存性4个基本特征方面的描述。 表1信息系统与僵尸网络的生存性特征描述 特征描述 生存技术与策略 关键特征 信息系统 僵尸网络 信息系统 僵尸网络 Rootkit技术、加密 具有抵抗攻击、故 具有抵抗故障、防止 认证、访问控制、加 技术、主动防御技 抵抗能力 障、失效等事件的 被检测、被查杀等的 密、消息过滤、功能 术、关闭反病毒软件 能力 能力 隔离等 技术等、P2P技术