半分布式P2P Botnet命令与控制机制研究

为分析P2P僵尸网络（Botnet）的控制机制与行为特性,研究了半分布式P2P Botnet中bot程序的体系结构,设计了半分布式P2P Botnet的命令与控制机制,包含命令的发布、传播、执行和信息的反馈。从僵尸网络的平均直径和网络连接度,与Peacomm和lcbot两种僵尸网络做了比较,分析了半分布式P2P Botnet命令与控制机制的性能。实验结果表明,半分布P2P Botnet命令与控制机制具有较高的效率和良好的韧性,符合新型P2P Botnet的要求。     

P2P僵尸网络研究与进展

由于基于IRC协议的僵尸网络存在单点失效的天然缺陷,越来越多的僵尸网络转而使用非集中式命令与控制信道。基于P2P协议的僵尸网络就是其中最重要的一种。P2P僵尸网络经过10多年的发展,技术已经完全成熟,它们具有更强的弹性和鲁棒性,更难以被清除,被认为是新一代的僵尸网络。阐述了P2P僵尸网络的发展历程,详细分析了功能结构、分类方法和工作过程,介绍了P2P僵尸网络传播模型和跟踪、检测、防御方法的研究进展。     

P2P僵尸网络研究

P2P僵尸网络是一种新型网络攻击方式,因其稳定可靠、安全隐蔽的特性被越来越多地用于实施网络攻击,给网络安全带来严峻挑战.为深入理解P2P僵尸网络工作机理和发展趋势,促进检测技术研究,首先分析了P2P僵尸程序功能结构,然后对P2P僵尸网络结构进行了分类,并分析了各类网络结构的特点;在介绍了P2P僵尸网络生命周期的基础上,着重阐述了P2P僵尸网络在各个生命周期的工作机制;针对当前P2P僵尸网络检测研究现状,对检测方法进行了分类并介绍了各类检测方法的检测原理;最后对P2P僵尸网络的发展趋势进行了展望,并提出一种改进的P2P僵尸网络结构.     

基于P2P协议的僵尸网络研究

僵尸网络已成为网络安全领域最为关注的危害之一。日前,使用P2P协议的僵尸网络逐渐兴起。在分析Slapper蠕虫的基础上,研究了P2P僵尸网络的拓扑结构、功能结构与控制机制,并指出了P2P僵尸网络的发展趋势。     

动态自组织P2P僵尸网络的构建及其防御

僵尸网络作为大规模攻击活动的基础平台,严重威胁网络空间安全,从预测的角度对其开展研究具有重要的现实意义。针对现有研究在终端感知、身份识别和动态对抗中存在的不足,本文概括僵尸网络生命周期,总结P2P结构僵尸网络的脆弱点,建立P2P僵尸网络动态对抗模型,分析节点真实性判断和网络拓扑优化重构的重要性。在此基础上,从攻击者视角提出一种新颖的动态自组织P2P僵尸网络模型DSBot。该模型在架构设计上可扩展至各类目标设备,通过基于可信度矩阵和真实性验证的节点安全性评估机制增强终端对抗性,并提出分阶段感染策略。借鉴无线自组网和多智能体的思路和方法,刻画节点属性多维表示和基于状态标识的动态网络框架,以此为基础设计O(N_i)更新算法、均匀连接算法和节点主动移除算法,并结合相应的初始化和调整机制提出网络自组织重构策略,从而进一步提升网络的健壮性。其中,O(N_i)更新算法确保节点的可信度,均匀连接算法降低网络暴露风险,节点主动移除算法实时移除可疑节点。从平均等待时间、命令可达率、网络连接度和重构稳定时间等方面对DSBot模型进行评估。实验结果表明,DSBot模型在效率和韧性上可满足僵尸网络命令控制机制的基本需求。最后,从终端清除、命令控制服务器打击和命令控制过程等方面讨论了可能的防御策略。本文旨在通过预测新型僵尸网络模型来完善防御解决方案。     

结构化对等网络中P2P 僵尸网络传播模型

依赖结构化对等网传播的P2P僵尸是未来互联网面临的重要威胁.详细分析了两种典型的结构化P2P协议Chord和Kademlia的工作原理,在此基础上,使用数学建模的方法建立了结构化P2P僵尸网络的传播模型.该模型将Kademlia,Chord协议与双因子免疫机制、主机在线率等因素相结合,较为全面地研究了两种典型的结构化P2P网络中僵尸的传播机理,并使用软件仿真的方法模拟了节点超过百万时,结构化P2P网络中僵尸的传播行为,通过软件仿真得出的数据与理论数据进行对比,验证了模型的正确性.从实验结果可以看出:对于Kademlia和Chord两种结构化P2P网络,僵尸传播无论是双因子免疫模型还是结合双因子与主机在线率的模型,理论模型与仿真结果都非常吻合,体现了模型的准确性,为僵尸的检测与防御提供了理论依据.     

P2P僵尸网络的检测技术

点对点(P2P)分布式架构的提出为恶意代码提供了更具隐蔽性和弹性的命令分配机制,使得P2P僵尸网络成为互联网上最严重的威胁之一.研究这种僵尸网络的检测技术非常具有现实意义,由于它具有较强的个性化差异,目前还没有通用的检测方法,现有的检测方法主要是通过分析其恶意行为及网络通信流量,析取其内在活动规律和传播机制等.讨论了P2P僵尸网络的结构和机制,分析相关的几种主要的检测技术并对未来可能的研究重点作出了预测.     

基于主机行为异常的P2P僵尸网络在线检测方法

僵尸网络已经成为当前最为严重的网络威胁之一,其中P2P僵尸网络得到迅速发展,其自身的通信特征给检测带来巨大的挑战.针对P2P僵尸网络检测技术的研究已经引起研究人员的广泛关注.提出一种P2P僵尸网络在线检测方法,首先采用信息熵技术发现网络流量中的异常点,然后通过分析P2P僵尸网络中主机的行为异常,利用统计学中的假设检验技术,从正常的网络流量数据中识别出可疑P2P僵尸主机,同时根据僵尸主机通信模式的相似性进行最终确认.实验结果表明该方法能够有效实现P2P僵尸网络的在线检测.     

P2P僵尸网络安全机制研究

结合当前P2P僵尸网络研究状况,归纳、总结出P2P僵尸网络的定义、属性及其特点,针对P2P僵尸网络的工作原理提出相应的安全机制,使之有效防范僵尸网络的攻击。     

中小型局域网中P2P僵尸网络的检测

传统的僵尸网络大多是基于IRC协议的集中式结构,但越来越多的僵尸网络开始转向了分布式的P2P结构,针对IRC信道的检测方法已经不适用于新型的P2P僵尸网络。提出一种面向中小型局域网,根据流量统计特性和恶意攻击活动相结合的P2P僵尸网络检测方法。这种方法对采用随机端口,数据加密等新型手段的Botnets可以进行有效检测。     

用于混合型P2P僵尸网络的列表路由改进算法

针对当前主流的P2P僵尸网络控制技术,提出了自适应淘汰机制来改进Bot节点的路由算法,有效地均衡了整个僵尸网络结构并提高了指令传输效率。仿真结果表明,基于此列表路由算法的僵尸网络,具有更高的韧性以及鲁棒性。     

蜜罐先知型半分布式P2P Botnet的构建及检测方法

蜜罐技术在僵尸网络（botnet）的防御和检测中扮演着重要的角色。攻击者可能会利用已有的基于蜜罐防御技术的漏洞,即防御者配置蜜罐要担当一定的责任,不允许蜜罐参与真实的攻击,进而构建出可以躲避蜜罐的botnet。针对这一问题,提出了攻击者利用认证sensor组建的蜜罐先知型半分布式P2P botnet,针对此类botnet,提出了用高交互性蜜罐和低交互性蜜罐相结合的双重蜜罐检测技术,并与传统蜜罐技术做了比较。理论分析表明,该检测方法能够有效地弥补蜜罐防御技术的漏洞,提高了蜜罐先知型半分布式P2P botnet的检出率。     

非结构化P2P僵尸网络鲁棒性分析

僵尸网络结构的不断改进对网络安全造成了极大的威胁,如何深入研究其结构本身的固有性质对抵御该种攻击方式显得尤为重要。从复杂网络的角度模拟非结构化P2P僵尸网络,通过定义度量标准并应用网络中心化指标分析非结构化P2P僵尸网络面对节点失效时的鲁棒性。实验结果表明,非结构化P2P僵尸网络在面对随机节点失效时其鲁棒性较强,而面对高中心化节点失效时其鲁棒性将会迅速降低。     

具有变化感染率的僵尸网络传播模型

僵尸网络对网络安全的威胁已经引起了众多安全研究专家的高度重视。数学建模是研究僵尸网络传播特性 的一种有效方法。现有的僵尸网络传播模型假设感染率是常量。事实上,大量僵尸病毒爆发时会引起网络拥塞,从而 导致感染变慢。针对这一特点,提出一个具有变化感染率的僵尸网络传播模型。根据Intetne、的实际情况,在模型中 加入了预先免疫特征项。最后通过matlab模拟对比了提出的模型与已有模型在反映僵尸网络感染时的差异。实验 结果表明,具有变化感染率的僵尸网络传播模型能更准确地反映实际网络中僵尸程序的传播规律。     

Toward a Monopoly Botnet Market

ABSTRACT

Economics play an increasingly important role in fighting cyber crimes. While the arms race against botnet problems has achieved limited success, we propose an approach attacking botnets through affecting a botnet market structure. The characteristics of the present underground botnet market suggest that it functions effectively as perfectly competitive. Competitive markets are usually efficient. We argue that less competition in the botnet market is actually preferred. Our economic analysis suggests that monopoly reduces the overall market output of botnets. Using a model of market structure evolution, we identify key forces that affect the botnet market structure and propose possible ways such as defaming botnet entrants to reduce competition, which ultimately reduce the size and output of the botnet market. The analysis provides useful insight to botnet defenders as a guidance on an efficient allocation of defending resources by attacking more on new entrants to the botnet market relative to the existing botmasters.     

僵尸网络机理与防御技术

以僵尸网络为载体的各种网络攻击活动是目前互联网所面临的最为严重的安全威胁之一.虽然近年来这方面的研究取得了显著的进展,但是由于僵尸网络不断演化、越来越复杂和隐蔽以及网络和系统体系结构的限制给检测和防御带来的困难,如何有效应对僵尸网络的威胁仍是一项持续而具有挑战性的课题.首先从僵尸网络的传播、攻击以及命令与控制这3个方面介绍了近年来僵尸网络工作机制的发展,然后从监测、工作机制分析、特征分析、检测和主动遏制这5个环节对僵尸网络防御方面的研究进行总结和分析,并对目前的防御方法的局限、僵尸网络的发展趋势和进一步的研究方向进行了讨论.     

一种抗污染的混合P2P僵尸网络

基于Peer-list的混合型P2P僵尸网络代表了一类高级僵尸网络形态,这种僵尸网络的优势是可抵抗传统P2P僵尸网络易受的索引污染（Index Poisoning）攻击和女巫（Sybil）攻击,然而却引入了新的问题——易受Peer-list污染攻击。本文提出一种新颖的混合P2P僵尸网络设计模型,在僵尸网络构建和Peer-list更新的整个生命周期中引入信誉机制,使得Peer-list污染攻击难以发挥作用。实验证明该模型具备很强的抗污染能力和很高的健壮性,因此对网络安全防御造成了新的威胁。最后,我们提出了若干可行的防御方法。本文旨在增加防御者对高级僵尸网络的理解,以促进更有效的网络防御。     

基于大数据的半分布式僵尸网络动态抑制算法

为了提高半分布式僵尸网络的安全性,提出一种基于大数据的半分布式僵尸网络动态抑制算法。采用波特间隔均衡控制方法,进行半分布式僵尸网络的动态特征补偿,构建半分布式僵尸网络动态特征信息采样模型,利用判决均衡方法,对采集到的动态特征信息进行定量递归分析,提取半分布式僵尸网络的统计特征量;在此基础上,采用大数据寻优计算方法,获取真正的半分布式僵尸网络最优抑制参数,在嵌入式环境下,将半分布式僵尸网络的最优抑制参数与迁移负载响应结果相结合,实现半分布式僵尸网络动态抑制。仿真结果表明,采用本文方法进行半分布式僵尸网络动态抑制的效果较好,提高了抑制精度,缩短了抑制时间,且降低了网络输出误码率。