基于终端行为特征的IRC僵尸网络检测

摘要：

目前已有的IRC僵尸网络检测算法存在两个问题:需要先验知识以获取匹配模式,无法满足实时处理需求.为解决这两个问题,文中提出了基于昵称和命令序列这两个终端行为特征的IRC僵尸网络检测算法.文中提出三种属性分别从内容、组成和结构三方面互补的刻画两个昵称的相似性,给出两个昵称相似性的量化因子,根据这量化因子生成弹性TRW算法以进行IRC僵尸网络实时检测.文中还在分析僵尸终端登录服务器的行为的基础上,提出了基于命令序列相似性的检测算法.算法评估实验证明两个算法行之有效.最后将这两个算法用于大规模网络环境中实时检测IRC僵尸网络,在两周内检测到162个僵尸频道.

关键词： 命令序列 相似性度量 僵尸网络检测 先验知识 匹配模式

作者: 王威 方滨兴 崔翔

作者单位: 哈尔滨工业大学计算机网络与信息安全研究中心,哈尔滨,150001;中国科学院计算技术研究所信息安全研究中心,北京,100190 中国科学院计算技术研究所信息安全研究中心,北京,100190

会议类型: 国内会议

会议名称: 2009中国计算机大会

会议地点: 天津

会议语种:中文

页码: 1980-1988

在线出版日期: 2009-10-23（万方平台首次上网日期，不代表论文的发表时间）