利用犆犉模型识别僵尸网络迁移-武汉大学学报·信息科学版.PDF

第 卷 第 期 武 汉 大 学 学 报 ·信 息 科 学 版 Ｖｏｌ．３５Ｎｏ．５ ３５ ５ 年 月 Ｍａ ２０１０ ２０１０ ５ ＧｅｏｍａｔｉｃｓａｎｄＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｏｆＷｕｈａｎＵｎｉｖｅｒｓｉｔ ｙ ｙ 文章编号： （ ） 文献标志码： １６７１８８６０２０１００５０６２２０４ Ａ 利用犆犉模型识别僵尸网络迁移 ，， ，， ， 臧天宁１２３ 云晓春１２３ 张永铮２３ 门朝光１ 　 　 　 （ 哈尔滨工程大学计算机科学与技术学院，哈尔滨市南通大街 号， ） １ １４５ １５０００１ 　 （ 中国科学院计算技术研究所，北京市科学院南路 号， ） ２ ６ １００１９０ 　 （ 信息内容安全技术国家工程实验室，北京市科学院南路 号， ） ３ ６ １００１９０ 　 摘 要：基于 ＣＦ模型识别僵尸网络的迁移，以僵尸网络迁移过程中表现出的多个特征为基础，提出了一种 　 识别僵尸网络迁移的方法，能够协同多个特征判断给定的两批僵尸主机是否具有迁移关系。通过几个典型僵 尸样本的评测，有效地识别了僵尸网络的迁移行为。与单纯采用 地址重合度的方法进行了对比，在僵尸网 ＩＰ 络成员数量动态变化的情况下，仍然保持了理想的识别结果。 关键词：僵尸网络；迁移； 模型 ＣＦ 中图法分类号： ＴＰ３９３ ［］ 僵尸网络（ ）１ 是攻击者利用互联网秘 网络控制服务器的域名和 地址。 ｂｏｔｎｅｔ ＩＰ 　　 密建立的可以集中控制的计算机群。基于 ） 地址重合度。迁移前和迁移后的两个 ＩＲＣ ２ ＩＰ 和 协议的僵尸网络是通过一对多集中式 僵尸网络，从理论上说，其内部成员相同， 地址 ＨＴＴＰ ＩＰ ［］ 命令与控制机制组建的网络 ２ 。僵尸网络迁移有 重合。但僵尸网络是动态变化的系统，受控主机 两种情况： 借助动态域名系统（ｄｎａｍｉｃｄｏ 并不总是处于连网状态，有些主机还可能清除僵 ① ｙ ，