基于网络流量异常的僵尸网络受控主机检测研究.pdfVIP

第 卷 第 期 计 算 机 工 程 年 月 安全技术 文章编号 文献标识码 中图分类号 基于网络流量异常的僵尸网络受控主机检测研究 白 涛 刘成龙 曲 武 王震 国网河北省电力公司信息通信分公司石家庄 北京启明星辰信息安全技术有限公司核心研究院北京 清华大学计算机科学与技术系北京 摘 要 大规模僵尸网络已成为当前互联网的主要威胁之一僵尸网络流量自动检测技术对于互联网服务提供商 和大型企业网监控非常重要 为此提出一种基于网络流量异常的僵尸网络实时检测算法通过将网络流量组织 成主机网络流量图谱和主机关系链并提取内在命令与控制通信特征检测僵尸网络同时实现 检测系 统 使用 个主流的僵尸恶意代码家族训练 采用模拟网络流量和真实网络流量数据集进行测试 实 验结果表明在无需深度包解析的情况下僵尸网络检测系统能够获得较高的平均检测率和较低的误报 率 在数据量较大的交换机上能够有效地进行实时检测验证了提出算法用于僵尸网络检测方面的可 行性 关键词 异常检测僵尸网络网络流量实时检测恶意代码 中文引用格式白 涛刘成龙曲 武等基于网络流量异常的僵尸网络受控主机检测研究计算机工程 英文引用格式 僵尸网络是最主要的网络安全威胁之一 在僵尸恶 概述 意代码设计中当前的趋势是利用 网络架构进 对抗恶意软件的行为已持续近几十年新的攻 行 通信并且使用最新 击和防御技术周而复始的互动 在这场攻防战中 的加密和混淆技术这大大降低了僵尸网络被检测 基金项目国家自然科学基金资助项目 作者简介白 涛 男硕士主研方向信息网络安全刘成龙学士曲 武博士会员王 震硕士 收稿日期 修回日期 第 卷 第 期