远控型木马通信三阶段流量行为特征分析

摘要：

随着互联网技术的发展,网络的应用也得到更好的普及,而保障网络安全成为亟待解决的问题.目前,木马是网络安全最严重的威胁之一,针对木马的主要检测方法是基于特征码的木马检测和基于行为的木马检测.文章从远程控制类型木马通信的3个阶段分析其流量行为特征,发现木马在建立连接阶段会有动态DNS行为,在数据传输时报文会置推送标志位PSH为1,导致PSH报文数量增大;在命令交互阶段,上下行流量不对称,小数据包比例大;在保持连接阶段会有心跳数据包.文章通过实验比较了正常应用通信流量与远程控制类型木马通信流量在上述特征上的表现行为,分析它们的异同点,从而为木马流量行为特征识别提供依据.

关键词：远控型木马、流量行为、特征分析、木马检测

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金61171193;国家科技支撑计划2015BAK21B01

在线出版日期：2015-08-07（万方平台首次上网日期，不代表论文的发表时间）

页数：共6页

页码：10-15