集中式僵尸网络检测算法评估研究.docVIP

集中式僵尸网络检测算法评估研究 　　摘要：本文提出一种通用的僵尸网络模拟方法，能够产生带有僵尸网络活动的网络流量，从而评估僵尸网络检测算法的效果，并以IRC僵尸网络为例实现原型并通过实验对模拟方法进行验证。 　　关键词：IRC Botnet 检测算法评估 　　中图分类号：TP3 文献标识码：A 文章编号：1007-9416（2013）03-0137-02 　　1 概述 　　僵尸网络是攻击者隐秘地传播僵尸程序，恶意控制大量主机，并通过命令与控制信道（CC，CC，Command and Control）协调运行的网络。研究表明，世界上约40%的电脑已经感染僵尸程序，规模较大的僵尸网络可以轻易调动上百万僵尸主机从事各种恶意行为。 　　僵尸网络的命令与控制信道是僵尸网络工作的核心机制，僵尸控制器对其成员的控制完全有CC信道发送。CC信道决定了僵尸网络的拓扑结构、通信效率、可扩展性等，目前主要有集中式、分布式两种。集中式拓扑结构指僵尸网络控制器通过一对多的方式直接控制僵尸成员，采用这种拓扑结构的僵尸网络有基于IRC协议的Sdbot、基于HTTP协议的Rustock等；分布式拓扑结构指僵尸网络控制器发出的命令通过类似P2P的形式分布式发送，采用这种形式的僵尸网络有基于有结构的Phatbot以及无结构的Sinit等。 　　僵尸网络出现十多年来，网络安全研究人员已经提出很多僵尸网络检