中心式结构僵尸网络的检测方法研究.pdf

小型微型计算机系统 2010年3月第3期 JournalofChinese V01．3l ComputerSystems No．32010 中心式结构僵尸网络的检测方法研究 王涛，余顺争 (中山大学信息科学与技术学院电子与通信工程系，广东广州510275) E，mail：wta03@mail2．sysu．cdu．cn 摘要：从近年发展趋势看，僵尸网络的结构正呈现多样化发展的趋势，中心式结构僵尸网络因控制高效、规模较大成为网络 安全最大的威胁之一．中心式结构僵尸网络采用一对多的命令与控制信道，而且僵尸主机按照预定的程序对接收到的命令做出 响应，因此，属于同一僵尸网络的受控主机的行为往往具有很大的相似性与同步性．针对中心式结构僵尸网络命令控制流量的 特点，本文提出一种基于网络群体行为特点分析的检测方法并用于僵尸网络的早期检测与预警．实际网络流的实验表明，本方 法能够有效检测当前流行的中心式结构僵尸网络． 关键词：僵尸网络；僵尸主机；命令与控制信道；群体行为 中图分类号：TP393 文献标识码：A 文章编号：1000．1220(2010)03-0510-05 for NovelMethod CentralizedBotnets Detecting WANG Tao，YU Shun‘zheng and YAT-SEN Conmmnication (DepartmentofElectronics Engineering。SUNUniversity．Guangzhou510275。China) isanovel Abstract：Bometattack evolvedfromtraditionalmalwareformsand aseriousthreatonthenetworksecuri— strategy imposes ofthe bomets thecentralizedarchitecturewhich a and ty．Especially-mostexisting employ provides efficientreal．timecommunication botsconnecttOaremotecentralserverandWaitforthecommandsfromthebotnet platform．The controller．Theflowscausedthecommandsandthe fromthebotsarc witheachotherand similar by responses generallyvery synchro- nousin ofthelimitedsetofthe the bots．The this commandsand ofthe maincontributionof time，because programmedresponses isthe ofacommondetectionmechanismatthe be- centralizedbotnets the correlated study developme