僵尸网络检测技术研究
僵尸网络检测研究
僵尸网络检测研究僵尸网络检测研究概述：随着互联网的迅速发展，网络安全问题日益突出。
其中，僵尸网络成为网络安全的一大威胁。
僵尸网络是指由僵尸主机控制的大量被感染的计算机，这些计算机在不知情的情况下执行恶意操作，如发送垃圾邮件、进行DDoS攻击等。
因此，僵尸网络的检测研究具有重要意义。
1. 僵尸网络的危害：僵尸网络的存在给网络安全带来了巨大的危害。
首先，僵尸网络可以发送大量的垃圾邮件，给用户的收件箱带来骚扰。
其次，僵尸网络还可以进行DDoS攻击，将目标服务器或网站淹没在大量的流量中，导致其无法正常运行。
此外，僵尸网络还可以用于传播恶意软件和进行网络钓鱼等活动，危害用户的隐私和财产安全。
2. 僵尸网络的检测方法：为了及时发现和遏制僵尸网络的活动，研究人员提出了多种检测方法。
其中，基于网络流量的检测方法是较为常见的一种。
通过对网络流量进行分析，可以发现异常的流量模式，并识别出潜在的僵尸主机。
此外，还可以通过监测网络中的异常行为和恶意代码等方法，来检测僵尸网络的存在。
3. 基于网络流量的检测方法：基于网络流量的检测方法是目前研究较为深入的一种。
它通过对网络流量进行分析和挖掘，来发现潜在的僵尸主机。
具体来说，可以从以下几个方面进行检测：首先，通过分析流量的源IP地址和目标IP地址等信息，来判断是否存在异常的通信模式。
其次，可以通过分析流量的协议类型和端口号等信息，来判断是否存在异常的协议行为。
最后，还可以通过分析流量的传输速率和传输量等信息，来判断是否存在异常的数据传输行为。
4. 基于异常行为的检测方法：除了基于网络流量的检测方法，还可以通过监测网络中的异常行为来检测僵尸网络的存在。
具体来说，可以从以下几个方面进行检测：首先，可以通过监测大量的无效请求和连接等异常行为，来判断是否存在僵尸网络的活动。
其次，可以通过监测大量的帐号登录失败和异常登录等异常行为，来判断是否存在僵尸网络的攻击。
最后，还可以通过监测大量的网络扫描和信号干扰等异常行为，来判断是否存在僵尸网络的入侵。
僵尸网络检测和防范研究
因此 ， 识 和 研 究 僵 尸 网 络 是 当 前 网 络 与 信 息 安 全 保 认 本 文 讨 论 的 基 于 Ｉ Ｃ 协 议 的 僵 尸 网 络 中 ， 尸 主 机 和 Ｒ 僵 障 工 作 的 一 个 重 要 课 题 ， 必 要 建 立 长 效 机 制 ， 其 进 行 长 控 制 端 的会 话 与 正 常 的 Ｉ Ｃ数 据 流 相 比 ， 显 著 的差 异 ， 有 对 Ｒ 有 僵 期 、 效 的处置 。 有 尸 主 机 的行 为 具 有 规 律 性 和 一 定 的持 续 性 。
１ 僵 尸 网 络 的 结 构 和 工 作 原 理
特 征 １控 制 端 在 频 道 内对 所 有 的 僵 尸 主 机 发 送 广 播 命
２ ０ 年 网络 与信 息安 全技术 研讨 会上 ， Ｎｃ Ｒ ０５ ｃ Ｅ Ｔ对 僵 令 ， 要求 僵尸 主 机 执 行 同 一 条命 令 ， 令 长度 短 于普 通 的 命 尸网络 的定 义为 ： 尸 网络 是 指 攻击 者 利用 互 联 网秘 密 建 Ｉ Ｃ数 据 包 的 平 均 长 度 。 僵 Ｒ
件 ， 起 了社 会 各 界 的 广 泛 关 注 。 据 国 家 计 算 机 网 络 应 急 引 交 易 的 一 部 分 。这 样 ， 鱼 攻 击 者 、 客 、 圾 邮 件 制 造 者 钓 黑 垃
技术处理 协调 中心（ 简称 ｃ Ｅ Ｎｃ ＲＴ） 样 监测 统计 ， ０ ８年 和 病 毒 作 者 就 能 够 利 用 僵 尸 网络 销 售 信 息 和 服 务 。 抽 ２０ 我 国境 内 感 染 僵 尸 网 络 控 制 端 的 Ｉ 址 为 １ ８ ５个 ， 染 ２ 僵尸 网络 的追 踪和 防范 Ｐ地 ，２ 感
立 的 可 以控 制 的 计 算 机 群 。其 组 成 通 常 包 括 被 植 入 “ 尸 ” 僵
基于网络流量分析的僵尸网络在线检测技术的研究的开题报告
基于网络流量分析的僵尸网络在线检测技术的研究的开题报告一、选题背景和意义随着互联网技术的不断发展，网络安全问题也越来越受到重视。
其中，僵尸网络成为当前互联网中流行的一种安全威胁，它通过控制大量的“僵尸主机”（即受到攻击者控制的合法主机），对其他主机进行攻击或传播病毒、木马等恶意软件，对网络安全形成了较大威胁。
因此，如何快速、准确地检测僵尸网络成为当前亟待解决的问题。
通过对网络流量进行分析，可以精确地识别出存在的僵尸网络节点，进而快速采取防御措施，提升网络安全水平。
二、研究内容和目标本研究的主要内容是基于网络流量分析的僵尸网络在线检测技术研究。
具体包括以下几个方面：1. 僵尸网络的特征提取通过对网络流量进行分析，确定僵尸网络的行为特征，如通信模式、数据包大小、传输协议等。
2. 构建算法模型结合机器学习技术，设计合适的算法模型，对提取的特征进行分类处理，确定僵尸网络节点。
3. 实现在线检测系统在研究基础上，实现一个基于网络流量分析的僵尸网络在线检测系统，完成节点的实时识别和防御措施的应用。
三、研究方法和步骤本研究将采用以下步骤进行研究：1. 文献调查：回顾近年来关于网络流量分析和僵尸网络检测方面的相关文献和技术报告，对研究方向进行熟悉和理解。
2. 数据采集与预处理：通过网络数据采集器获取数据流，进行基本预处理和简单分析，获取特定的网络流量数据。
3. 特征提取：根据分析网络流量数据中的特征，采用时间序列等算法技术，提取网络流量中的行为特征，如通信模式、数据包大小、传输协议等。
4. 数据分类：结合机器学习技术，将提取的特征交给算法模型进行分类处理，确定僵尸网络节点。
5. 系统实现：在确定的算法模型基础上，实现一个基于流量分析的僵尸网络在线检测系统，实现实时检测和防御功能。
四、研究进度安排1. 前期准备（1个月）：熟悉相关文献和技术报告，确定研究方向和目标。
2. 数据采集和预处理（2个月）：采用网络数据采集器获取数据流，进行基本预处理和简单分析，获取特定的网络流量数据。
僵尸网络检测方法研究
２ 僵 尸 网络 的 结 构
僵尸网络主要由攻击者（ｏ ａ ｅ）僵尸主机（０） ｂｔ ｓ ｒ、 ｍ ｔ ｂｔ以
利益的驱动 ， 僵尸网络得到迅速发展， 根据国家计算机网
络应急技术处理协调中心（Ｎ Ｅ Ｔ Ｃ 提交的 ２０ ＣＣＲ／ ） Ｃ ０６年度 报告， 研究人员在中国大陆发现大约 １ ０ 万台主机被安 ０ ０ 装了僵尸软件【 可见僵尸网络已经成为互联网一个新的 １ 】 ，
点 专 项 科 研 基 金 资 助 课 题 （０ ４ ５ ８ ３ ２００５０ ） ４
安装恶意软件、 窃取用户机密信息等 ， 一般而言， 僵尸主机 的行为不容易被主机用户所察觉。 命令与控制信道是攻击
维普资讯
硕 博 沦 文
者和僵尸主机的通信渠道 ， 对整个僵尸网络的运作非常重 要，因此攻击者往往对命令和控制信道进行隐藏和保护，
论文
僵 尸 网络 检 测 方 法 研 究
陆伟 宙 。 顺 争 余
（ 山大 学 电子 与通 信 工程 系 广 州 ５ ０ ７ ） 中 １ ２ ５
僵 尸 网 络 是 指 由 黑 客 通 过 多 种 传 播 手 段 入 侵 并 控 制 的 主 机 组 成 的 网络 。僵 尸 网 络 是 各 种 恶 意 软 件 传 播 和 控 制 的 主要 来源 ， 测 僵 尸 网络 对 于 网 络 安 全 非 常 重 要 。 本 文 首 先 介 绍 了 僵 尸 网络 检 的结 构 ， 重 对 僵 尸 网 络 的命 令 与 控 制 信 道 进 行 了 讨 论 ， 着 详 细 介 绍 了 基 于 主 机 信 息 的 、 着 接 基 于流量监 测的和基于对 等网络的僵尸 网络检测方法 ， 进行 了比较和讨论 。 并
信息或者命令僵尸主机发动拒绝服务攻击等。 僵尸主机昕 命于攻击者， 平常处于空闲状态 ， 单纯监听命令与控制信 道， 只有在接收到攻击者的命令才进行相应的操作。僵尸
僵尸网络的检测技术研究
僵尸网络对个人或整个 网络可 能பைடு நூலகம்成的严重危害主 要有 ： 分布式拒
绝服务攻 击、 垃圾 邮件 、 网络仿 冒 身份窃取 、 ／ 键盘记 录 、 安装广告 条和浏
Ｒｅ ｅ ｒ ｈ ｏ ｇ ｖ ｒ ｍ ｅ ｔＳ ｓｅ ｓ ｄ ｏ ｅ ｓ ａ ｃ ｎ Ｅ－ ｏ ｅ ｎ ｎ ｙ ｔ ｍ Ｂａ ｅ ｎ Ｗ ｂ
最僵尸程序 的变种产生 。
被植入 ｂ ｔ ｏ 程 序 的僵尸 主机
图 ｌ 基于 １Ｃ协议的僵尸网络的结构 Ｒ 序或其 他远程控制程序 、 可以被攻击者远程控制 的计算 机部可以叫僵尸
主机。
僵尸网络 已经成为 目前国际网络安全领 域最严重 的威胁之一 。
僵 尸程序（ｏ ： ｂｔ 是指 被攻击者秘 密植入被控 制计算机 中 ， ） 可以 自动 接收预定 义的命令和执行预定 义的功能 。 具有一定人 工智 能的程序 其 本质就是一个 网络客户端 。 它会 主动连接 到服务器读取 控制指令 ， 按照 指令执 行相应的动作 。 目前由于利用 ＩＣ协 议控制僵尸程 序的方式具有 Ｒ 很 多优势 。 因此绝大多数僵 尸程 序属于此类 。采用其他协 议甚至 自定义
僵尸网络的检测技术研究
霍建滨 ， 白凤娥
（ 太原理工大学计 算机与软 件学 院， 山西太原 ，３ ０ ４ ００ ２ ） 摘 要 ： 绍了僵尸 网络的组 织结 构度 其危 害。 介 剖析 了基于 Ｉ Ｃ协议度其 他命 令控 制 Ｒ
方式的僵尸 网络的检测方法 。 并对检 测技 术的发展进行 了展 望。 关键词 ： 尸网络 ； 尸程 序；Ｒ 蜜罐 ’ 僵 僵 Ｉ Ｃ；
维普资讯
科技情报开发与经济
文章编号 ： ０— ｏ３２ｏ ） — ２９０ １ ５ ６３（ｏ７ｏ ０２—２ ０ ３
僵尸网络检测技术的研究
文章编 号：１０ —５ Ｘ（０ ２２０ ２ —３ ０ ７７ ７ ２ １ ）—０ ５０
研 究 与设计
微型 电脑 应 用
２１ 年第 ２ ０２ ８卷第 ２期
能进行有效检测。然而 ，如果应用在大规模 网络 中，该算法
的处 理 时 间将 是 检 测 效 率 的主 要 瓶 颈 。对 于 有 意 产 生 Ｄ ＮＳ 请求的欺骗行为，算法 就会 失去作用 。 Ｎａａｉ 人 对 僵 尸 网络 使 用 快 速 通 量 技 术 进行 统计 分 ｚｒ ｏ等
令与控制服务器 。该方法为实时检测提供 了可能，但其使用 的机器学 习的流量分类算法对参数非常敏感， 在实际应用中 并 不 能取 得 很 好 的效 果 。
段 。 ｏｎｔ Ｂ ｔｅ 需要具有一定规模被控的计算机， 规模的形成（ 传
播） 要采用如下几种手段。 主 ① 主动 攻击 漏 洞 ， 其 原 理 是通 过攻 击 系 统 中所 存 在 的 漏 洞 获 得 访 问权 ，将 攻 击 的 系 统 感 染成 为僵 尸主 机 。 ② 邮件 病 毒 ，Ｂ ｔ程 序 还 会 通 过 发 送 大 量 的 邮件 病 毒 ｏ
德 国 的 Ｇ ｅｅ 等 人 提 出 了一 种 根 据 Ｉ Ｃ用 户 昵 称检 测 ｏｂｌ Ｒ 僵 尸 网 络 的 方 法 —＿ｉ ｉ 该 方 法 使 用 正则 表 达 式 对 获 取 的 Ｒｓ 。 ｈ Ｉ Ｃ 用户 昵称 的构 成 方 法 、 殊 字 符 的使 用 情 况 、用 户 昵 称 Ｒ 特 的相 似 度 进 行 评 分 ， 中检 测 出 网络 中 的 僵 尸 主机 。该 方 法 从 实 现 简 单 ， 只 能 检 测 明文 传 输 的僵 尸 网 络 ，其 使 用 的 呢 称 但 评 分标 准 也 很 容 易 被 僵 尸 主 机 绕 过 。 除此 之 外 ，针 对 Ｉ Ｃ 僵 尸 网络 的检 测 方 法 还 有 很 多 ， Ｒ 如 Ａ ＆Ｔ 实验 室 的 Ｋ ｒｓｒ ｉ等 人提 出 了一 种 在 ＩＰ骨 干 Ｔ ａａａｉ ｓ ｄ Ｓ 网层 面 上检 测 和 刻 画 僵 尸 网络 行 为 的 方 法 ， 国 的蜜 网项 目 德
僵尸网络检测研究
的 ２ ％以上 ， ０ 其数量 已在美 国之上 。并且在国内僵尸网络 也早已成为黑客产业 中一个不可或缺的项 目， 在一些黑客
所 使用 的交 流 网络 中就 有 人公 然 叫卖僵 尸 网络 ｆ 由于僵 ３ ］ 。 尸 网络 日趋 活跃 ， 网络 安全 的威 胁 日趋 严 重 ， 已成 为 对 现
也将 借 用此 定 义 。
并且 实 时 的回应 控制者 的信息 ， 以及发 送 信道所组成的网络 。考虑到该定义的完备性 ， 本文 各 种 指令 ，
自身的信息以便控制者了解。 最后 ， 当控制者发布要求攻击的指令后 ， 僵尸主 机接收到控制者发出的命令 ，立即就会对被指定的 目标发动 Ｄ ｏ 攻击 ， ＤＳ 信息窃取等攻击行为。
成为僵尸主机 ， 自动加入该 Ｉ Ｃ频道。由于该频 并 Ｒ
道 与 正常 Ｉ Ｃ聊 天频 道 不 同 ， Ｒ 主要 目的是 用 来传 输
ｃ 信息 ， ２ 所以将其称之为命令与控制信道。当僵尸
主机 加入 该频 道之 后 ，就 开始监 听控 制者 所发 布 的
控制大量的计 算机 ，并通过 一对多 的命令与控制
利用大规模 的僵尸网络 ， 黑客们能够轻松地对网
络 中的受害站点发动 Ｄ ｏ 攻击 、 ＤＳ 海量 垃圾 邮件 、 信息窃
取 等形式 的攻击 以牟取 利 益 。 根据 赛 门铁 克 公 司的监测 报 告 【】 国僵 尸计 算 机 的数量 已 占世 界僵 尸计 算 机 总数 ｌ，我 １ ２
国内外网络信息安全领域研究者共 同关注的研究热点 ， 越 来越多的学者 、 科研机构和信息安全公司投入到僵尸网络 的检测与防御研究工作 中。
１僵 尸网络及 其定义
僵尸 网络发 展 了多年 ， 内外学 者在 僵 尸 网络发 展 的 国
基于异常行为特征的僵尸网络检测方法研究
关键词 僵 尸 网络 ；僵 尸 频 道 ；响 应 集 群 Ｔ ３３ Ｐ９ 文献标识码 Ａ 文章编号 １０ ７ ２ ２ １ ） １ ０ ｏ ０ ７— ８０（０ ０ １ —１９一 ４
网络非 常重要 。比较有 特 点 的有 美 国哈佛 大 学 Ｍａ ｎ ｌ ａ 等人提 出的基 于对 端 的快 速检 测算 法 和 英 国诺 丁汉
主机对控制命令的响应信息 ，进而分析一个频道是否
为僵 尸频 道 ，该方 法 的优 点是 不需要 先 验知识 。
１ 基于异常行 为特征 的僵尸频道检测模型
口
强
２ Ｕ 年 弟 ｚｊ 罨 弟 ＵＪ
期
Ｅ ｅ ｔ ｎ ｃ Ｓ ｉ ＆ Ｔ ｃ ． ｏ ． ５． ２ １ ｌｃ ｒ ｉ ｃ． ｏ ｅ ｈ ／Ｎ ｖ １ ００
基 于异 常行 为 特 征 的僵 尸 网络 检 测 方 法 研 究
杨
摘 要
奇 ，何聚厚
（ 陕西师范大学 计算机科学学院 ，陕西 西安 ７ ０ ６ ） １０ ２ 基 于僵 尸网络通信及 网络流量的异常行为 ，可 以有效检测 出僵尸频道。介绍 了通过 对主机响应信 息的异 常分析 ，进 而判断 出当前 Ｉ Ｃ频道 是否为一个僵 尸频 道的检 测算 法。由此 引入 了基 于异 常行 为的僵尸频道检 测模 型， Ｒ
现有 的僵 尸 网络 检测算 法 主要针 对 ＩＣ协议 ，且 Ｒ 绝 大多数 是根据 网络流量 的相关 属性 分析 判 断 ，这 样 存在 较大 的局 限性 。
络 检测 方法 ，该方 法基 于 网络流检 测 ，提取 Ｉ Ｃ终端 Ｒ
件 。但由于被控制 计算机 的覆盖面广 、类 型复杂多
P2P僵尸网络的检测方法
Ｓ ａ ａ ｄ 等 提 出一种 基于 网络 行为分 析和 机 器学 习技
术的 Ｐ ２ Ｐ僵尸 网络 检 测方 法 。该方 法通 过从 网络流 和
＿ ２ ０ １ ３ 墓
通 信模 式 中提 取 １ ７种 特 征 建 立特 征 组 来 区分僵 尸 网 络 ｃ＆ｃ、非 Ｐ ２ Ｐ流量 和 正常 Ｐ ２ Ｐ流 ｉ ｌ ｌ 量 为 了满足 新奇 检测 （ 检测未知僵尸网络 ） 和 在 线 检 测 ，使 用 １ ０倍
利 用这些 特征 来判 断 网络流 量 中是 否存 在 Ｐ ２ Ｐ僵 尸流
量
Ｈ ｏ Ｉ Ｚ 等通过 对病 毒 的二进 制代码 进 行反 汇编来 剖 析Ｐ ２ Ｐ 僵 尸病 毒 的传 播机 制 、恶 意行 为 、控制 信道 加 密方 式 等 特 点 从 而 实 现 了对 Ｐ ２ Ｐ 僵 尸 网 络 的跟 踪 、
Ｍ ∞ ｅ术 学
Ｐ Ｕ 。
技
¨术
僵尸 网络 主要 包括僵 尸主控 者 （ Ｂ ｏ ｔ ｍａ ｓ ｔ ｅ ｒ ） 、僵尸 主机 、命令 与控 制 （ Ｃ ｏ ｍ ｍ ａ ｎ ｄ ａ ｎ ｄ Ｃ ｏ ｎ ｔ ｒ ｏ ｌ ， Ｃ ＆ Ｃ ） 网
络 等 三 部分 。Ｐ ２ Ｐ僵 尸 网络 的 结构 如 图 １所 示 。 由此 可 见 ，Ｐ ２ Ｐ僵 尸 网络 没 有 中心节 点 对 等 节点 之 间通 过Ｐ ２ Ｐ协 议 进 行连 接 从 而 在 网络 拓扑 上继 承 了 Ｐ ２ Ｐ
术 ： 支 持 向量机 （ Ｓ ｕ ｐ ｐ ｏ ｒ ｔ Ｖ ｅ ｃ ｔ ｏ ｒ Ｍａ ｃ ｈ ｉ ｎ ｅ ，Ｓ Ｖ Ｍ） 、人 工 神经 网络 （ Ａ ｒ ｔ ｉ ｆ ｉ ｃ ｉ ａ Ｉ Ｎ ｅ ｕ ｒ ａ Ｎ ｌ ｅ ｔ ｗｏ ｒ ｋ ，Ａ Ｎ Ｎ ） 、近邻 分 类器 （ Ｎ ｅ ａ ｒ ｅ ｓ ｔ Ｎ ｅ ｉ ｇ ｈ ｂ ｏ ｒ ｓ Ｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｅ ｒ ．Ｎ Ｎ Ｃ） 高 斯分 类器 （ Ｇ ａ ｕ ｓ ｓ ｉ ａ ｎ －Ｂ ａ ｓ ｅ ｄ Ｃｌ ａ ｓ ｓ ｉ ｆ ｉ ｅ ｒ ，Ｇ Ｂ Ｃ） 和 朴素 贝 叶斯 分类器 （ Ｎ ａ ｉ ｖ ｅ ｓ Ｂ ａ ｙ ｅ ｓ Ｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｅ ｒ ，Ｎ Ｂ Ｃ） 。最后 ，使 用 ４
僵尸网络(botnet)检测技术研究
（ ２ ） 通过聚类计算 ， 很容 易将这 些具有相似特征 的流量记录聚 合成为 一类 ，且这个聚类 中包含的流量记录相对其它聚类来说明显 多很 多 。 （ ３ ）这个 最大的聚类中所 有的源 Ｉ Ｐ地址，就是疑似参 与攻击
的地 址 。
（ ４ ）由于这些疑似参与攻击的 Ｉ Ｐ分别属于不 同区域甚 至是不 同运营商的网络， 需要将分布 在网络 各处的疑似参与攻击 的 Ｉ Ｐ地址 的流量记录在一起，再次对 目的 １ Ｐ地址进行聚合计算。计算 结果可 以得 到 一 组 同 时 与 这 些 疑 似 Ｉ Ｐ有 联 系 的 Ｉ Ｐ地 址 。 这组 Ｉ Ｐ地 址 就 是 高度疑似的控制主机地址 。 （ ５ ）通过分 析，某些疑似控制主机可能是一些非常受欢 迎的网 站，排除掉这些合法的 Ｉ Ｐ地 址 ， 剩 下 的 就 很 可 能 是控 制主 机 的 Ｉ Ｐ 地址 了。 （ ６ ）对于步骤 ４ ，还可 以疑似参与攻击的 Ｉ Ｐ作为 目的 Ｉ Ｐ ， 对源 Ｉ Ｐ进 行 聚 合 计 算 ，也 可 以得 到 一 组 疑 似 控 制 主 机 Ｉ Ｐ地 址 。 １ ． ２ 基于 Ｄ Ｎ Ｓ流量 分 析 的检 测 方 法 无 论 是 哪 种 僵 尸 网 络 活 动 ，都 伴 随 着 大 量 的 Ｄ Ｎ Ｓ通 讯 异 常 。例 如 ，对 于 基 于 Ｉ Ｒ Ｃ的 僵 尸 网 络 ， 会 伴 随 大 量 陌 生 怪 异 的 Ｄ Ｎ Ｓ查 询 。 在Ｄ Ｎ Ｓ日志中，可 以发现同一个 Ａ 记录 ，在短时 间内有大量的重复 查 询 请 求 。僵 尸 网络 为 了逃 避 追 查 ，通 常 还 会 利 用 一 种 称 为 Ｆ ａ ｓ ｔ — Ｆ ｌ ｕ ｘ网络的机制 。这种机制通过快速轮换 Ｉ Ｐ的方式，逃避对 控 制主机 的追查 。在 Ｄ Ｎ Ｓ通讯特 征上 ，就表现为 ： （ １ ）一个域名，对应过 多的 Ｉ Ｐ地址 。 （ ２ ）域 名记录 的 Ｔ Ｔ Ｌ极短 ，通常在 ３ Ｏ分钟以内，远远低 于 ４ ８ 小 时 的 通 常 情况 ，通 过 追 查 与 异 常 Ｄ Ｎ Ｓ通 讯 相 关 的 Ｉ Ｐ地 址 ， 就 可 以 初步定位 僵尸主机。总之，对 Ｄ Ｎ Ｓ流量进行分析，也是僵 尸网络检 测的一个发力点 。 １ ． ３ 基 于诱 骗 系 统 和 流 量 检 测 系 统 的 僵 尸 网 络检 测 方 案 前人做 的工作 中，大部分 只针对 某一类僵尸网络有效，适用范 围较窄 。以往 的采用诱骗技术僵 尸网络 检测 方案，只单独 采用了蜜 罐或蜜 网系统 ，效果不 甚理想 。原因是这类攻击 诱骗系统 是被动检
计算机网络中的Botnet及其检测技术研究
计算机网络中的Botnet及其检测技术研究在当今信息化时代，计算机网络成为了人们日常生活中不可或缺的一部分。
然而，随着互联网的普及和技术的发展，网络攻击的风险日益增加，其中的一种重要威胁就是Botnet。
因此，对于Botnet攻击进行检测和防范已成为了每一个网络安全工作者的必备技能。
本文将从Botnet的概念入手，详细探讨它的工作原理、特点及其检测技术。
1. Botnet的概念Botnet（僵尸网络），指由一组被黑客控制的计算机组成的网络。
这些计算机被恶意软件控制，悄然无声地执行指令，与此同时，控制它们的黑客可以通过Botnet进行远程操作，以攻击其他计算机、盗取重要数据等行为。
据统计，全球有数百万台计算机受到不同程度的Botnet攻击。
2. Botnet的工作原理Botnet采用的是分布式架构。
黑客通常会利用各种漏洞和弱口令等手段入侵用户计算机，下载并安装恶意软件。
被感染的计算机在得到黑客控制后，通过P2P协议或者C&C（命令控制）服务器与第三方服务器建立连接，使黑客可以通过Internet远程控制它们。
Botnet可以执行各种操作，例如发动分布式拒绝服务攻击、发送垃圾邮件、进行DDoS攻击、窃取用户账号和密码、在用户计算机中植入广告等。
3. Botnet的特点Botnet是一种隐秘的攻击方式，不仅对单个计算机造成威胁，还可能对整个网络造成影响。
它可以利用多种技术手段来隐藏自己的行踪，从而不被用户和防病毒软件所察觉。
具体来说，Botnet有以下特点：（1）难以察觉：很多用户并不知道自己的计算机已被Botnet感染，也不知道自己的计算机正在参与Botnet攻击。
（2）分散性：Botnet采用分布式结构，使得其资源分散，攻击的威力更加致命。
（3）难以清除：对于Botnet感染计算机的防护策略和清除工作，可能会面临一些挑战，因为其分散性和隐蔽性使得卸载和清除工作变得更加困难。
（4）可定制化：对于黑客来说，他们可以根据自己的需要对Botnet进行修改和改进，从而使其呈现出不同的攻击形态。
基于异常行为监控的僵尸网络发现技术研究
专家新论本栏目由网御神州科技有限公司协办４４赵佐，蔡皖东，田广利（西北工业大学计算机学院，陕西 西安 ７１００７２）【摘 要】僵尸网络作为近年来危害互联网的重大安全威胁之一，引起了研究者的广泛关注。
论文通过分析僵尸网络工作过程中各阶段表现出的异常行为特征，提出了基于异常行为监控的僵尸网络发现技术，详细阐述了僵尸网络发现系统的原理及系统框架结构，并对其关键技术进行了设计实现。
【关键词】僵尸网络；异常行为特征；发现机制；监控规则【中图分类号】ＴＰ３９１ 【文献标识码】Ａ 【文章编号】１００９－８０５４（２００７） ０９－００４４－０３Research on technology for Botnet Detection Based on Abnormal Behavior M onitoringZ H A O Z u o , C A I W a n -d o n g , T I A N G u a n g -l i(S c h o o l o f C o m p u t e r S c i e n c e , N o r t h w e s t e r n P o l y t e c h n i c a l U n i v e r s i t y , X i Õa n S h a n x i 710072, C h i n a )【Abstract 】I n r e c e n t y e a r s , B o t n e t h a s b e e n o n e o f t h e e m e rg i n g s e r i o u s th r e a t s t o t h e I n t e r n e t a n d a t t r a c t e d w i d e a t t e n -t i o n f r o m r e s e a r c h e r s . B y a n a l y z i n g t h e c h a r a c t e r i s t i c s o f a b n o r m a l b e h a v i o r s h o w n b y B o t n e t a t i t s d i f f e r e n t s t a g e s , t h e p a p e r p r o p o s e s a B o t n e t -d e t e c t i n g m e t h o d b a s e d o n a b n o r m a l -b e h a v i o r -m o n i t o r i n g , d e s c r i b e s t h e p r i n c i p l e a n d t h e s t r u c -t u r a l f r a m e w o r k o f t h e s y s t e m , i n c l u d i n g t h e d e s i g n a n d i m p l e m e n t a t i o n o f i t s k e y t e c h n o l o g y .【Keywords 】b o t n e t ; a b n o r m a l b e h a v i o r ; d e t e c t i n g m e t h o d ; m o n i t o r i n g r u l e s基于异常行为监控的 僵尸网络发现技术研究＊０ 引言僵尸网络（Ｂｏｔｎｅｔ）是指控制者和大量感染僵尸程序（Ｂｏｔ）主机之间形成一对多控制的网络，是近年来危害互联网的重大安全威胁之一。
僵尸网络的检测与对策
僵尸网络的检测与对策院系：软件学院专业：网络工程0901 郭鹏飞学号：2009923891.关于僵尸网络僵尸网络（botnet）是指通过各种传播手段，在大量计算机中植入特定的恶意程序，将大量主机感染僵尸程序病毒，使控制者能够通过相对集中的若干计算机直接向大量计算机发送指令的攻击网络。
攻击者通常利用这样大规模的僵尸网络实施各种其他攻击活动。
起名为僵尸，很形象地揭示了这类危害的特点：众多的计算机在不知不觉中如同僵尸一般驱赶和指挥着，成为被人利用的一种工具。
◆僵尸网络中涉及到的概念：bot程序：rebot的缩写，指实现恶意控制功能的程序。
僵尸计算机：指被植入bot的计算机。
控制服务器（Control Server）：指控制和通信的中心服务器，在基于IRC 协议进行控制的僵尸网络中，就是指提供IRC聊天服务的服务器。
DDoS 攻击：利用服务请求来耗尽被攻击网络的系统资源，从而使被攻击网络无法处理合法用户的请求。
◆僵尸网络特点：首先，是一个可控制的网络，这个网络并不是具有拓扑结构的网络，它具有一定的分布性，新的计算机会随着bot程序的传播，不断被加入到这个网络中。
其次，这个网络是采用了一定的恶意传播手段形成的，例如主动漏洞攻击，邮件病毒等各种病毒与蠕虫的传播手段，都可以用来进行僵尸网络的传播。
最后，僵尸网络的最主要的特点，就是可以一对多地执行相同的恶意行为，比如可以同时对某目标网站进行DDos攻击，同时发送大量的垃圾邮件等，这一特点使得攻击者能够以较低的代价高效地控制大量的资源为其服务。
◆Bot程序的传播途径：主动攻击漏洞。
邮件病毒。
即时通信软件。
恶意网站脚本。
特洛依木马。
僵尸网络的工作过程包括传播、加入和控制三个阶段。
在传播阶段之后，将进入加入阶段。
在加入阶段，每一个被感染主机都会随着隐藏在自身上的bot程序的发作而加入到僵尸网络中去。
在IRC协议的僵尸网络中，感染bot程序的主机会登录到指定的服务器和频道中，登录后，该主机会在在频道中等待控制者发来的指令。
基于数据挖掘策略的P2P僵尸网络检测方法研究
摘 要 ： 尸 网络 由一 群 被 病 毒 感 染 的 计 算 机 组 成 ， 严 重 的 威 胁 着 Ｉｔｒｅ 的 安 全 。其 原 理 是 黑客 僵 它 ｎｅｎ ｔ
把 病 毒 植 入 到 目标 计 算 机 ， 然后 黑客 通 过 Ｉｔｒｅ 控 制 这 些 计 算 机 来 实施 Ｄ ｏ ｎｅｎ ｔ Ｄ Ｓ攻 击 、 取 认 证 信 息 、 发 盗 分
ｂ ｎ ｔ ｓ ｔ ｕ ｍ ｅ ｏ ｅ ｓｏｎｓ ｗｉｈ ｏｔ ｅ ｅｓ ｐ ｎｕ ｒ ｕｓ ｓ ｓ ｉ ｔ ｏｕｔｃ ｏｎｓ ｍ ｉ ｎ ｕ ｎｇ ｂａ ｄｗｉ ｔ ｕｂｓａ ｉ ｌｙ， ｃ ｓｎｇ ｉｓ ｌ ｘ ｓ ｄ ｔ ｈｅ ａ ｏｍ ａｙ ｄｅ ｅ — ｄ ｈｓ ｔ ｎｔａｌ ａｕ ｉ ｔ ｅｆ ｅ ｐｏ ｅ ｏ ｔ ｎ ｌ ｔ ｃ
文 章 编 号 ：０ ３ ６９ （０ ２ Ｏ 一Ｏ ３ －０ １０ — １ ９ ２ １ ）２ １ ３ ５
基 于 数 据 挖 掘 策 略 的 Ｐ２ 僵 尸 网 络 检 测 方 法 研 究 Ｐ
王 宇科 ， 子 荣 ， 王 胡 浩
（ 南 大 学 网 络 信息 中 心 ， 湖 湖南 长 沙 ４０８） １ ０ ２
ｔ ａ ａ ｋ ｒ ｍ ｐ ａ ｔ ｄ ｖ ｒ ｓ ｉ ａ ｇ ｔ ｄ ｃ ｍｐ ｔ ｒ ，ｗｈ ｃ ｒ ｈ ｎ ｃ ｍ ｍａ ｄ ｄ ａ ｄ ｃ ｎ ｒ ｌ ｄ ｂ ｈ ｍ ｉ ｈ ｎ ｅ ｎ ｔｔ ｈ ｔ ｈ ｃ ｅ ｓ ｉ ｌ ｎ ｅ ｉｕ ｎ ｔ ｒ ｅ ｅ ｏ ｕ ｅ ｓ ｉｈ ｗｅ ｅ ｔ ｅ ｏ ｎ ｅ ｎ ｏ ｔ ｏ ｌ ｙ ｔ ｅ ｖ ａ ｔ ｅ Ｉ ｔ ｒ ｅ ｏ ｅ ｏ ｅ ａ ｅ ｄ ｓ ｒ ｔ ｄ ｄ ｎ ａ ｆｓ ｒ ｉｅ （ ｐ ｒ ｔ ｉｔｉ ｅ ｅ ｉｌｏ ｅ ｖ ｃ ｓ ＤＤｏ ） ｔａ ｏ ｆ ｅ ｔａ ｎ ｏ ｍａ ｉ ｎ，ｄ ｓ ｒｂ ｔ ｕ ｋ ｍａｌ ｎ ｔ ｅ ｌ ｉ ｕ ｃｓ ｂｕ Ｓ ，ｓｅ ｌｅ ｎ ｉ ｎ ｉ ｌ ｆ ｒ ｔ ｄ ｉ ｏ ｉｔ ｉ ｕ ｅ ｎ ｉ ａ ｄ ｏ ｈ ｒ ｍａｉ ｏ ｓ ａ ｔ ． ｓ ｃ Ｂｙ ｉ ｔ ｔｎ Ｐ ｓ ｆｗａ ｅ ｍｉ ｉ ｇ Ｐ２ ｏ ｔ ｒ ，Ｐ２ ｏ ｎ ｔ ｕ ｅ ｌｉ ｌ ｉ ｏ ｔｏ ｌ ｒｔ ｖ ｉ ｉ ｇ ｅｐ ｉ ｔｏ ａ ｌ ｒ ，ａ ｄ ｆ ｉ ｄ ｖ ｒ ｕ ｓ ａ Ｐ ｂ ｔ ｅ ｓ ｄ ｍｕ ｔ ｅ ｍａｎ ｃ ｎ ｒ ｌ ｏ ａ ｏ ｄ ｓｎ ｌ ｏ ｎ ｆｆ ｉ ｅ ｎ ａ ｌ ａ ｉ ｓ ｍｉ— ｐ ｅ ｕ ｅ ｏ ｕ ｅ ｄ ｔ ｃｉ ｇ ｔ ｃ ｎ ｌ ｇ ｅ ｏ ｅｈ ｒ ｗｉｈ ｅ ｃ ｙ ｔｏ ｅ ｈ ｏ ｏ ｉｓ Ｄｉｆ ｒ ｎ ｉｔ ｇ ｆｏ ｔ ｅ ｎ ｒ ｌ ｎ ｔ ｒ ｅ ａ ｉ ｒ ｓ ｅ ｅ ｔｎ ｅ ｈ ｏ ｏ ｉ ｓ ｔ ｇ ｔ ｅ ｔ ｎ ｒ ｐ ｉ ｎ ｔ ｃ ｎ ｌ ｇ ｅ ． ｆｅ ｅ ｔ ｉ ｒ ｍ ｈ ｏ ｍａ ｅ ｗｏ ｋ ｂ ｈ ｖｏ ，Ｐ２ ａｎ Ｐ
僵尸网络攻击的检测和防范研究
僵尸网络攻击的检测和防范研究第一章僵尸网络攻击概述在互联网时代，网络安全问题已经成为了各行各业都必须面对的问题，因为网络攻击随着网络化的发展而日益猖獗，其中最为常见的攻击方式是僵尸网络攻击。
僵尸网络攻击指的是利用大量被感染的计算机，自动化发起攻击，从而影响受害者的机器或者网络资源的正常使用，以达到攻击者的目的。
传统的反病毒软件需要及时升级才能发现新型病毒，而僵尸网络攻击在策略和技术上都具有灵活性和隐蔽性，因此，如何检测和防范僵尸网络攻击是一个亟待解决的问题。
第二章僵尸网络攻击的类型僵尸网络攻击主要分为以下几种类型：1.拒绝服务攻击（DoS）拒绝服务攻击旨在使受害者的网络或系统资源不可用，以达到攻击者的目的。
攻击者通过发送大量的请求，消耗网络或系统的资源，从而导致其崩溃。
该类型的攻击最常见的形式是分布式拒绝服务攻击（DDoS），攻击者会利用大量感染机器同时向一个目标发起攻击，因而更加有威力和难以抵御。
2.数据窃取攻击攻击者通过感染用户计算机，获取其敏感信息等。
数据窃取攻击可以利用用户误操作、漏洞等多种方式进行攻击。
3.恶意软件攻击攻击者通过在计算机中植入病毒、木马等恶意软件，实现获取计算机信息、窃取敏感信息等目的。
常用的攻击手段包括邮件附件、下载网站等。
4.网络钓鱼攻击网络钓鱼攻击是攻击者通过伪装成合法机构的方式，欺骗受害者的账号密码、信用卡等敏感信息，造成财产损失等危害。
第三章僵尸网络攻击的检测技术1.数据分析技术数据分析技术可以根据僵尸网络攻击活动对用户网络流量、网络行为等进行分析，以便发现僵尸网络攻击的痕迹。
该技术主要应用于实时监控和日志分析等方面。
2.特征分析技术特征分析技术可以根据已知的僵尸网络攻击特征，对用户网络行为、攻击流量等进行比对和分析。
该技术除了能够提前识别攻击外，还能够为网络管理者提供针对性防护手段。
3.机器学习技术机器学习技术主要包括监督学习、无监督学习和半监督学习等。
通过统计数据分析、聚类、分类等方法，学习识别僵尸网络攻击行为和攻击特征，提高检测的准确率和发现率。
僵尸网络_BOTNET_监控技术研究
图 1 僵尸网络的组成3僵尸网络(BOTNET)监控技术研究Study on BOTNET Detection and Controlling Techniques(1.国家计算机网络应急技术处理技术协调中心;2.清华大学) 张冰 1 杜跃进 1 段海新 2 焦绪录 1ZHANG Bing DU Yue-jin DUAN Hai-xin JIAO Xu-lu摘要: 僵尸网络（BOTNET ）是互联网网络的 重大安全威胁之一 ，本 文对僵尸网络的蔓延 、通 信和攻击模式进行了介绍 ，对 僵尸网络发现、监测和控制方法进行了研究。
针对目前最主要的基于 IR C 协议僵尸网络，设计并实现一个自动识别系统，可以 有效的帮助网络安全事件处理人员对僵尸网络进行分析和处置。
关键词: 僵尸网络; IRC; 网络安全 中图分类号: TP309.5 文献标识码: AAbstract: BOTNET has become one of the major critical threats to the Internet security. In this paper, the propagation methods, communication and attacking pattern of BOTNET were introduced. The detection, monitor and control methods for BOTNET were pre- sent. Aiming at the most common IRC- based BOTNET, an automatic detection system was designed and implemented, which could help the network security emergency persons to analyze and handle BOTNET effectively. Key words: BONNET ; IRC; Network Security引 言僵尸网络是近年来兴起的危害互联网网络安全重大安全 威胁之一。
3-僵尸网络原理与检测技术ppt课件
攻击者
僵尸主机
僵尸主机 僵尸网络
僵尸主机
被攻击服务器
12
p2p僵尸网络没有固定服务器做主机，分散式主机。 P2P僵尸网络或者使用已存在的P2P协议，或者使用自定
义的 P2P协议存在只充当服务器角色的僵尸网络控制器 ,而是由 僵尸程序同时承担客户端和服务器的双重角色。每个僵尸 主机(节点)接受攻击者的命令时扮演的是客户端角色。同 时 ,它把接收到的命令传播到其它节点，这时扮演的是服 务端角色。
量垃圾邮件等，同时黑客控制的这些计算机所保存的信息，譬如银行
帐户的密码与社会安全号码等也都可被黑客随意“取用”。因此，不
论是对网络安全运行还是用户数据安全的保护来说，僵尸网络都是极
具威胁的隐患。僵尸网络的威胁也因此成为目前一个国际上十分关注
的问题。然而，发现一个僵尸网络是非常困难的，因为黑客通常远程、
件病毒等各种病毒与蠕虫的传播手段，都可以用来进行Botnet的传播，从这
个意义上讲，恶意程序bot也是一种病毒或蠕虫。
最后
也是Botnet的最主要的特点，就是可以一对多地执行相同的恶意行为，
比如可以同时对某目标网站进行分布式拒绝服务（DDos）攻击，同时发送大
量的垃圾邮件等，而正是这种一对多的控制关系，使得攻击者能够以极低的
根据互联网公开资料整理-曾剑平
1
一、定义 二、网络特点 三、出现原因 四、发展历程 五、工作原理 六、网络危害形式 七、案例分析
2
中文名称：僵尸网络 英文名称：botnet 定 义：通过各种手段在大量计算机
中植入特定的恶意程序，使控制者能够 通过相对集中的若干计算机直接向大量 计算机发送指令的攻击网络。攻击者通 常利用这样大规模的僵尸网络实施各种 其他攻击活动。
僵尸网络的研究
僵尸网络的研究摘要网络，作为当代生活中不可缺少的一部分，与人类的日常生活联系的愈发的紧密，也越来越多的涉及到人们的私密生活中。
随之诞生的网络安全问题也成为了整个社会关注的公共问题。
垃圾邮件在网上盛行，DDOS （DDOS--Distributed Denial of service (分布式拒绝服务攻击),是指很多DOS攻击源一起攻击某台服务器）攻击成为当前网络安全上的主要问题，。
那么何为僵尸网络呢，僵尸网络又会给人们带来什么呢。
本文中将会带您了解僵尸网络的演化过程和基本定义,深入剖析了僵尸网络的功能结构与工作机制,讨论了僵尸网络的命令与控制机制和传播模型,并归纳总结了目前跟踪、检测和防御僵尸网络的最新研究成果,最后探讨了僵尸网络的发展趋势和进一步的研究方向.。
关键词：僵尸网络 DDOS攻击网络安全 bot程序目录第一章僵尸网络的介绍 ................................................... .5 1.1 僵尸网络的定义 ...................................................... .5 1.2 僵尸网络的危害 ...................................................... .5 1.3 僵尸网络的特点和分类 ................................................ .5 第二章僵尸网络的起源与发展过程 ......................................... .7 2.1 僵尸网络的起源 ...................................................... .7 2.2 发展过程 ............................................................ .7 第三章僵尸网络的工作原理 ............................................... .7 3.1基于IRC控制方式的原理............................................... .7 3.2 基于HTTP协议的原理 ................................................. .9 3.3基于P2P通信方式原来................................................. .9 第四章僵尸网络的检测与防御 ............................................. .9 4.1 基于IRC控制方式的僵尸网络检测 ...................................... .9 4.2 基于HTTP控制方式的僵尸网络检测 .................................... .10 4.3基于P2P控制方式的僵尸网络检测...................................... .10 4.4 应对措施 ........................................................... .10 第五章总结与展望 ...................................................... .13 5.1 僵尸网络的研究现状 ................................................. .13 5.2 发展前景与总结 .................................................... .13 致谢 ................................................................... .14 参考文献 ............................................................... .14第一章僵尸网络的介绍1.1僵尸网络定义目前，僵尸网络是近年来兴起的危害互联网的重大安全威胁之一。
僵尸网络(Botnet)的检测方法
僵尸网络在传播和准备发起攻击之前，都会有一些异常的行为，如发送大量的DNS查询(Botnet倾向于使用动态DNS定位C&C服务器，提高系统的健壮性和可用性)、发送大量的连接请求等等。
综上所述，可供统计的一些异常行为包括：IRC服务器隐藏信息、长时间发呆(平均回话时长3.5小时)、昵称的规律性、扫描、频繁发送大量数据包(每个客户端每秒至少发生 5~10个包)、大量陌生的DNS查询、发送攻击流量、发送垃圾邮件、同时打开大量端口、传输层流特征(flows-per-address(fpa)， packets-per-flow(ppf) and bytes-per-packet(bpp) )、包大小(包大小的中值≤100Bytes)、特定的端口号(6667， 6668， 6669， 7000， 7514)
这方面的研究有很多，其中一个主要的理论分支称为 “告警焊接”， 例如把类似的告警事件放在同一个标签下。最基本的目标就是减少日志，在大多数系统中，要么是基于多事件归因于一个单一的威胁，要么是提供一个针对一个单一的目标的经过整理的通用事件集的视图，我们引入了“证据追踪”的方法通过分析感染过程的通信序列来识别成功的Bot 感染，称为会话关联策略。在这个策略中， Bot 感染过程可以建模成感染主机与外部实体间一个松散顺序的通讯流。特别是所有Bot都共享同样的发生在感染周期的活动集：目标扫描、感染漏洞、二进制文件下载并执行、C&C频道建立、向外地扫描。不必假设所有这些事件都是必须的，也没有要求这些每个事件都被检测到。系统收集每个内部主机的事件踪迹找到一个满足我们对bot 检测要求的合并序列的门限。
Binkley等人提出了一个基于TCP扫描权重(TCP work weight)的启发式异常检测算法以检测IRC僵尸网络控制通信， w=(Ss+Fs+Rr)/Tsr
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
的 、实时 的 特点 已 经成 为 当前 网络 中最 为普 遍使 用
的通信 方 式 。 由于具 有 广大 的用 户群 体 ，在僵 尸 网
络 发展 过程 中 ，Ｉ 议 业 已成为构 建 一对 多命 令 Ｒ Ｃ协
与 控 制 信 道 的 主 流 协 议 。 然 而 ，鉴 于 对 基 于 Ｉ Ｃ Ｒ
ＷＡ Ｇ Ｚ ｏｇ ｅ ， Ｉ Ｘｎ ｈｎ， Ｕ Ｎ Ｑｕ ｕ Ｎ ｈｎ －ｍ ｉ ＹＮ ｉ －ｃｕ Ｙ Ａ ｉ －ｙ
ｆ Ｄ ｒ ｝ ｆ Ｏ ｐ ￣ ，ｌａ Ｙ＃ ａｇ ｃｅ ｓＳｈｏ 醯帅 喻 豫 ． ａｄ ＃２ ２０ ＃ Ｃｉ ． ｉ ｝ ｏ Ｃｌ Ｕｅ ｇ Ｂ ＃ ｉ ｕＧ ＃ ｍａｈｒ ｃｏｌＬ ？ ＃ ＃ ｎ ｓ ２ ０ ，ｈ ｍ，
２ ｃｏ ｌｏ Ｉｆｒ ＃ｏ Ｅ ２２５０ ， ｈ｝ Ｓ ｈ ｏ ／ ｎ ｏｍａ ｎ ｅｒ Ｙ ｎ ｈ ｕ ｕ ｉｅ ￣ ，Ｙｎ ｈ ｕ ｄ ｇｓ ｊ ａ ０ｇ Ｃ ／ａ： ￣
５ Ｔ Ｉ ＃ ｎ＃ ｆＬ ｎｕＧｎ，Ｌ ｎｕ ａ＃ ｄｎｓ ２ ０ ６Ｃ／） ｈ ＴＧｈ／ ｍｍ ｏ ｚ Ｙ ｅ ｅ ＃ ｅ ｎ ｄ ｚｙｎ ｎ，／ｇｕ２ ２ ０ ．ｈａ ａ ｇ ａ ｎ
ｔｃ ｎ ｌ ｉ ｈ ｈｇ ｅｒ ｒ ｅｏ ｔ 、 ｌｃ ｏ ｐｅ ｉｕ ｆ ｒｃ ｓ ａ ｄ ｘ ｅｓｖ ｄ ｔ ｐｏｅｓｎ ｏ ｔｅ ｅ ｈｏｏ ｇｙ ｓ ｅ ｉｈ ｒｏ ｒｐ ｒｓ ａ ｋ ｆ ｒｖｏ ｓ ｏｅａ ｔ ｎ ｅ ｃｓｉｅ ａ ａ ｒｃ ｓｉ ｔ ｇ ｆ ｈ Ｚｏ ｉ ｎｔ ｒ ｄ ｔｃ ｉｎ ｅ ｈ ｏ ｇ ｏ ｍｂｅ ｅｗｏ ｋ ｅ ｅ ｔ ｔ ｃｎ ｌ ｙ ｆ ｓ ｏ ｏ ｄ ｎ ｍｉ ｆ ａ ｕｅ ； ｌｓ ，ｕ ｙ ａ ｃ ｅ ｔｒ ｓ Ａｔ ａ ｔ ｓ ｍｍａｉｅ ｈ ｔ ｔｅ ＷＯ ｍｅｈ ｄ ｍｕｔ ｅ ｏ ｉ ｄ ｒｚ ｔ ａ ｈ ｔ ｃ ｏｓ ｓ ｂ ｃｍｂｎ ｗｈｃ ｃ ｎ ｂ ｔｅ ｒｄ ｃ ｔｅ ｒｃ ｓｉｇ ｄ ｔ ａ ｄ ｉ ｒ ｖ ｔｅ ｅ ｉｈ ａ ｅ ｔｒ ｅ ｕｅ ｈ ｐ ｏｅｓｎ ａ ａ ｎ ｍｐｏ ｅ ｈ
虽然 僵 尸 网 络 已 经 发展 了许 多年 ，国外 对 其 也
进 行 了深 入 的研 究 ，但 是 到 目前 为 止 ，僵 尸 网络 还 没 有 一 个 统 一 的 定 义 。 本 文 提 出一 个 较 完 备 的 定 义 ：僵 尸 网络 是 指攻 击 者 出于 恶 意 目的 ，传 播 僵 尸
Ａｂ ｔａ ｔ： ｔｅ ｔ ｒａ ｏ ｇｏ ａ ｎ ｔ ｒ ｂ ｔ ｅ ｏｎ ｔ ｂｃ ｍｅ ｍｏ ｅ ａ ｄ ｍｏｅ ｗｄ ｓｒａ ｉｇ， ｍｕｔ ｉｃｅ ｓ ｔ ｅ ｐｅ ｅｔｏ ．ｎ ｈ ｓ ｒｃ Ａｓ ｈ ｈｅ ｔ ｎ ｌｂ ｌ ｅｗｏ ｋ ｙ ｈ ｂ ｔ ｅ ｅ ｏ ｓ ｒ ｎ ｒ ｉｅｐｅ ｄ ｏ ｗｅ ｓ ｎｒａ ｅ ｈ ｒｖ ｎ ｉ ｎ Ｉ ｔ ｉ ｓ
僵尸 网络检测技 术研 究
王 钟梅 ，殷新春 ，袁秋 宇
（．连云 港 师范 高等 专科 学校 ，江苏 连云 港 ２２０ ；２ １ ２０ ６ ．扬州 大学 信 息工 程学 院 ，江苏 扬 州 ２ ５０ ；３ ２ ０９ ．连 云港 第七 一 六研 究 所 ，
江苏 连云 港 ２ ２ ０ ） ２０ ６
ａ ｔｃｅ ｔ ｅ ｅ’ ｒ ｔ ｒ ｅ ａ ｔ ｆ ｒ ｈ ｍｅ ｈ ｄ ｔ ｔ ｓ ｔ ｅ ｏ ｎ ｔ ｂ ｔ ｅ ｄ ｔ ｃ ｉｎ ｅ ｈ ｏｏ ｙ ｆ ｔ ｔｃ ｅ ｔ ｒ ｓ， ｏ ｎ ｔ ｅ ｅ ｔｏ ｔ ｃ ｎ ｌｇ ｏ ｒｉ ， ｈ ｒ ｌ ｅ ｈ ｅ ｐ ｒ ｓ ｏ ｔ ｅ ｔ ｏ ｓ ｏ ｅ ｔ ｈ ｂ ｔ ｅ ： ｏ ｈ ｒ ｅ ｅ ｔｏ ｔ ｃ ｎ ｌｇ ｏ ｓ ＆ ｉ ｆ ａ ｕ ｅ ｂ ｔ ｅ ｄ ｔ ｃ ｉ ｎ ｅ ｈ ｏｏ ｙ ｆ
静 态特征检 测技 术的缺陷就是误 报率 高、僵 尸 网络 动态特征检 测技 术缺乏先验性和 处理数据量 大等缺点 ，最后指 出，把这 两
种方法结合起来 ，就 能够更好地 减少数据 处理量和提 高检 测的准确率 。
关键 词 ：僵 尸网络 ；检 测 ；静 态特 征 ；动态特征 ；混合特征
Ｓｔ ｄ ｏ ｈ Ｔｅ ｈ ｏ ｏ ｙ ｏ Ｄｅ ｅ ｔｎ ｔ ｅ ｕ ｙ ｎ ｔ ｅ ｃ ｎ ｌ ｇ ｆ ｒ ｔ ｃ ｉ ｇ ｈ Ｂｏ ｎ ｔ ｔ ｅ
摘 要 ： 由于 全球 网络 都 在 遭 受 日益广 泛 的 僵 尸－ 所 带 来 的威 胁 ， 因此 ，必 须 加 大对 其 防 治 。 僵 尸 网 络检 测 的 方 法 分 为 三 个 网络
部分 ：“ 僵 尸 网络静 态特征检测技术” 僵 尸 网ｌ 动态特征检 测技术” 僵尸 网络 混合特征检测技术 ” 、“ 络 、“ ，分别指 出了僵尸 网络
ｄ ａ ｃ ｅ ｔｒｓ，ｏ ｎ ｔ ｅｅ ｔｏ ｔｃ ｎ ｌ ｙ ｆ ｘ ｅ ｔｒｓ， ｔ ｅｅ ａ ｔ ｒ ｓｅｔｖ ｌ ｐ ｉｔ Ｕ ｔａ ｔｅ ｅ ｅ ｔ ｆ ｈ ｓａ ｉ ｅ ｔｒｓ ｎｐ ｃｉｎ ｙｎ ｍｉ ｆ ａ ｕｅ ｂ ｔｅ ｄ ｔ ｃｉｎ ｅｈ ｏｏ ｏ ｍｉ ｆ ａ ｕｅ ｇ ｈｓ ｐ ｒｓ ｅｐ ｃｉｅ ｙ ｏｎ Ｏ ｔ ｈ ｔ ｈ ｄ ｆ ｃ ｏ ｔｅ ｔ ｔｃ ａ ｕｅ ｉｓｅｔｏ ｆ
ｄ ｔ ｃ ｉｎ ｃ ｕ ａ ｙ． ｅ ｅ ｔｏ ａ ｃ ｒ ｃ
Ｋｅ ｗｏｒ ｓ： Ｂ ｔｅ ｓａ ｉ ｅ ｔ ｒ ； ｙ ａ ｃ ｅ ｔ ｒｓ ｍｉ ｆ ａ ｕｅ ｙ ｄ ｏ ｈｒ；ｔ ｔｃ ａ ｕ ｅ ｄ ｎ ｍｉ ｆ ｆａ ｕｅ ； ｘ ｅ ｔｒ ｓ
１僵尸 网络 检测概述
１ １僵尸 网络 ．