僵尸网络协同检测模型与关键技术的研究与实现-信息安全专业论文.docxVIP

万方数据 万方数据 独 创 性 声 明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取 得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文 中不包含其他人已经发表或撰写过的研究成果，也不包含为获得电子科技 大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志 对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。 签名： 日期： 年 月 日 论文使用授权 本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规 定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论 文被查阅和借阅。本人授权电子科技大学可以将学位论文的全部或部分内 容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、 汇编学位论文。 （保密的学位论文在解密后应遵守此规定） 签名： 导师签名： 日期： 年 月 日 摘要 摘 要 近年来，分布式拒绝服务攻击、垃圾邮件、网络钓鱼、蠕虫等恶意活动已经 成为网络生活中的主要威胁，对网络基础设施的正常运行和国家安全带来严重影 响。究其原因，主要是隐藏在这些恶意活动背后的众多僵尸网络（Botnet）。根据 赛门铁克公司 2008 年安全报告和迈克菲 2009 年第四季度安全报告，中国分别以 13%和 12%的比例再次成为世界第一的 Botnet 大国。僵尸网络在不断发展，对世 界各国特别是我国的信息安全构成严重的威胁。 本文对僵尸网络检测的现状进行归纳和分析，总结并提出僵尸网络检测技术 的发展趋势是网络协同与相似性分析；对僵尸网络进行研究，分析并总结出僵尸 网络的发展本质上是控制信道的进一步隐藏和网络组织结构的优化；在总结当前 僵尸网络检测现状的基础上，从网络协同检测入手进行研究，提出了一个基于协 同的检测模型，该模型融合网络协同与行为相似性分析，对网络节点行为进行监 控，最终实现僵尸网络检测。 本文重点对基于该协同检测模型的原型系统进行详细设计和实现。系统从功 能上划分为三种主要实体：顶级调度分析中心、区域协调控制中心和检测节点。 顶级调度分析中心协助整个检测网络的建立和检测信息的维护，区域协调中心负 责具体的协同检测任务的实施，检测节点进行行为的监控和分析，三个实体相互 协同，共同实现检测功能。系统在实验室模拟环境进行了测试和验证，结果显示， 该原型系统可以检测出异常攻击行为，进而可以检测出模拟的僵尸网络节点。 关键词：僵尸网络检测，网络协同，相似性，模型 I ABSTRACT ABSRACT In recent years, distributed denial-of-service attack (DDoS attack), spam, phishing, worms and other malicious activities have become major threats to the network life. They result serious impacts on the network infrastructure and national security. The essential cause is botnet which hides behind of these malicious activities. According to Symantec Security Report of 2008 and McAfee security report of the fourth quarter of 2009, China had the worlds largest botnet scale with the proportion of 13% and 12% of the world once again. Botnet constantly grows and becomes a serious threat to the worlds network security, especially China. The current research of botnet detection is summarized and analyzed in this thesis. It proposes that the development trends of botnet detection will be based on network collaboration and similarity analysis. By analyzing botnet, we get the conclusion that the essence of development trend of botnet a