121444-基于MapReduce僵尸网络在线检测算法.PDFVIP

第35 卷第7 期 电 子 与 信 息 学 报 Vol.35No.7 2013 年7 月 Journal of Electronics Information Technology Jul. 2013 基于MapReduce 的僵尸网络在线检测算法 蒋鸿玲*① 邵秀丽① 李耀芳② ①(南开大学信息技术科学学院 天津 300071) ②(天津城市建设大学计算机与信息工程学院 天津 300384) 摘 要：目前僵尸网络主要是通过网络流量分析的方法来进行检测，这往往依赖于僵尸主机的恶意行为，或者需要 外部系统提供信息。另外传统的流量分析方法计算量很大，难以满足实时要求。为此该文提出一种基于MapReduce 的僵尸网络在线检测算法，该算法通过分析网络流量并提取其内在的关联关系检测僵尸网络，并在云计算平台上进 行数据分析，使数据获取和数据分析工作同步进行，实现在线检测。实验结果表明该算法的检测率可达到 90%以 上，误报率在5%以下，并且数据量较大时加速比接近线性，验证了云计算技术在僵尸网络检测方面的可行性。 关键词：云计算；僵尸网络；在线检测； MapReduce 中图分类号：TP393 文献标识码： A 文章编号：1009-5896(2013)07-1732-07 DOI: 10.3724/SP.J.1146.2012.01444 Online Botnet Detection Algorithm Using MapReduce ① ① ② Jiang Hong-ling Shao Xiu-li Li Yao-fang ① (College of Information Technical Science, Nankai University, Tianjin 300071, China) ② (College of Computer and Information, Tianjin Institute of Urban Construction, Tianjin 300384, China) Abstract: Most current botnet detection approaches are based on analyzing network traffic and they usually rely on malicious behaviors of bots or need information provided by external systems. Besides, the huge computation of traditional approaches is difficult to meet the real time requirement. So an online botnet detection approach is proposed based on MapReduce. The approach detects botnet by analyzing network traffic and extracting intra relationship of flows. The data analysis is carried out in cloud platform which makes the data capture and data analysis working simultaneously and realizes online detection. The experimental resul