【摘要】：近年來,隨著網(wǎng)絡(luò)的普及,網(wǎng)絡(luò)安全也面臨著越來越大的威脅,各種木馬病毒層出不窮。其中,僵尸網(wǎng)絡(luò)在分布式拒絕服務(wù)攻擊(DDoS)、垃圾郵件(Spam)、網(wǎng)絡(luò)釣魚(phishing)、蠕蟲(1worm)傳播、竊取敏感信息等方面有著特有的優(yōu)勢,成為網(wǎng)絡(luò)安全的重大威脅之一。據(jù)國家互聯(lián)網(wǎng)應(yīng)急中心統(tǒng)計(jì),在中國大陸有近74萬臺(tái)主機(jī)被僵尸網(wǎng)絡(luò)控制著。 早期的僵尸網(wǎng)絡(luò)都是使用IRC協(xié)議來構(gòu)建其控制與命令信道,但是隨著研究人員對(duì)基于IRC協(xié)議的Bot認(rèn)識(shí)不斷深入,基于IRC協(xié)議的Bot越來越難以生存,于是黑客們開始用更加復(fù)雜的P2P協(xié)議與HTTP協(xié)議構(gòu)建命令與控制信道。 基于新協(xié)議的Bot大量出現(xiàn),研究新的檢測技術(shù)來發(fā)現(xiàn)Bot的問題迫在眉睫。在檢測IRC Bot中使用的終端檢測、網(wǎng)絡(luò)流量分析檢測等具有良好的檢測性能。本文首先學(xué)習(xí)了僵尸網(wǎng)絡(luò)方面的相關(guān)知識(shí),對(duì)僵尸網(wǎng)絡(luò)有了比較全面的了解,分析了HTTP Bot的行為；然后研究了DCA算法的原理及應(yīng)用；最后研究了APIHOOK技術(shù)。在對(duì)以上三種知識(shí)有了比較全面的了解后,總結(jié)前人研究Bot檢測的方法,給出了一種檢測HTTP Bot的方法。方法描述如下：用API HOOK工具截獲系統(tǒng)中特定函數(shù)的調(diào)用,這些函數(shù)通常是Bot為完成其功能所必須要調(diào)用的函數(shù)。在獲得了函數(shù)的調(diào)用序列后,將其映射為DCA算法的輸入信號(hào),將產(chǎn)生函數(shù)調(diào)用的進(jìn)程PID號(hào)映射為抗原,經(jīng)過DCA算法處理后得到輸出數(shù)據(jù),根據(jù)輸出數(shù)據(jù)計(jì)算M(CAV值,MCAV表示抗原的異常指標(biāo),將MCAV值與異常閥值進(jìn)行比較,判斷抗原是否異常。在異常指標(biāo)方面,引入了新的異常指標(biāo)MAC,并與MCAV進(jìn)行比較。 通過實(shí)驗(yàn)將DCA應(yīng)用于HTTP Bot的檢測,實(shí)驗(yàn)結(jié)果表明能夠在感染主機(jī)上發(fā)現(xiàn)其異常進(jìn)程,同時(shí)還表明使用異常指標(biāo)MAC比使用MCAV具有更低的誤報(bào)率。
【學(xué)位授予單位】：安徽理工大學(xué)
【學(xué)位級(jí)別】：碩士
【學(xué)位授予年份】：2014
【分類號(hào)】：TP393.08

【參考文獻(xiàn)】

中國期刊全文數(shù)據(jù)庫 前5條

1 陳岳兵;馮超;張權(quán);唐朝京;;面向入侵檢測的集成人工免疫系統(tǒng)[J];通信學(xué)報(bào);2012年02期

2 諸葛建偉;唐勇;韓心慧;段海新;;蜜罐技術(shù)研究與應(yīng)用進(jìn)展[J];軟件學(xué)報(bào);2013年04期

3 陳岳兵;馮超;張權(quán);唐朝京;;基于DCA的數(shù)據(jù)融合方法研究[J];信號(hào)處理;2011年01期

4 于曉聰;董曉梅;于戈;;基于主機(jī)行為異常的P2P僵尸網(wǎng)絡(luò)在線檢測方法[J];小型微型計(jì)算機(jī)系統(tǒng);2012年01期

5 方賢進(jìn);宋丹劫;;樹突細(xì)胞算法及其應(yīng)用于Nmap端口掃描研究(英文)[J];中國通信;2012年03期

，

本文編號(hào)：2526690