基于网络流量异常的僵尸网络受控主机检测研究

摘要：

大规模僵尸网络已成为当前互联网的主要威胁之一,僵尸网络流量自动检测技术对于互联网服务提供商和大型企业网监控非常重要.为此,提出一种基于网络流量异常的僵尸网络实时检测算法,通过将网络流量组织成主机网络流量图谱和主机关系链,并提取内在命令与控制通信特征检测僵尸网络,同时实现BotScanner检测系统.使用4个主流的僵尸恶意代码家族训练BotScanner,采用模拟网络流量和真实网络流量数据集进行测试.实验结果表明,在无需深度包解析的情况下,BotScanner僵尸网络检测系统能够获得较高的平均检测率和较低的误报率.在数据量较大的交换机上,BotScanner能够有效地进行实时检测,验证了提出算法用于僵尸网络检测方面的可行性.

关键词：异常检测、僵尸网络、网络流量、实时检测、恶意代码

所属期刊栏目：41

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金资助项目60875029

在线出版日期：2015-12-16（万方平台首次上网日期，不代表论文的发表时间）

页数：共10页

页码：170-179