基于行为相似性的P2P僵尸网络检测模型

P2P僵尸网络对Internet构成巨大的安全威胁。在基于主机的P2P流量检测和恶意行为检测的基础上,提出一个P2P僵尸网络的检测模型。构建一个基于CHORD协议由监视节点组成的结构化P2P网络,将同时具有P2P流量和恶意行为的主机信息上报监视节点。通过对P2P僵尸主机行为进行融合分析,具有相似性恶意行为的主机被认为处于一个P2P僵尸网络中。     

跟踪僵尸网络

密罐是一种用采发现攻击工具、攻击策略与攻击者攻击动机的技术。在本文中,我们考虑一种特殊的安全威胁：运行僵尸网络的个人与组织。僵尸网络是一个可以由攻击者远程控制的已被攻陷主机组成的网络。由于它们数量巨大（可以把几万台主机连接在一起）,因此对网络构成了极其严重的威胁。在蜜网的帮助下,我们可以观察运行僵尸网络。由于记录数据的丰富性,这使得重构攻击者的行动、使用的工具和详细地研究他们成为了可能。这里,我们对僵尸网络、普遍的攻击技术做更进一步的介绍。     

一种基于流量分析的P2P僵尸网络检测模型

梳理了P2P流量识别与基于流量分析的P2P僵尸网络检测的若干方法,在深入分析其各自优点与局限性的基础上提出了一种复合检测系统模型CAID。CAID模型由捕获、分析、识别和检测四部分组成,该模型针对P2P僵尸网络,通过流量的获取、识别与分析构建了完整的检测预警机制,为后续处理打下了坚实基础。最后,对该模型进行了实验分析。     

基于P2P的僵尸网络及其防御

 僵尸网络作为网络犯罪活动的平台,正朝着P2P等分布式结构发展.研究僵尸网络的发展方向以及构建技术,有助于我们全面地了解僵尸网络活动的特点,从而更好地开展僵尸网络的检测和防范研究.本文分析了攻击者的需求,提出了一种基于层次化P2P网络技术的新型僵尸网络结构,并对这种僵尸网络的可行性和具体的传播、通讯、控制等各个方面进行了深入分析和探讨.在此基础上,我们通过模拟实验对各种防御策略的有效性进行了分析和评估,实验数据表明,在考虑实际可操作性条件下,现有的防御策略难以有效摧毁P2P结构僵尸网络.最后,我们讨论了这种新型僵尸网络可能的防御方法.     

在WLAN网络下构建P2P僵尸网络处理机制的研究

僵尸网络日益猖獗。其危害从终端用户到国家,甚至军方与政府也不断遭受着僵尸网络的攻击。越来越多与僵尸网络密切相关的词汇进入人们的视线：恶意软件、身份财务信息盗取、恶意广告弹窗、垃圾邮件、网络钓鱼。WLAN作为公共使用的网络环境,能够从源头入手处理僵尸网络获得良好效果,因此本文从网络结构开始,对时下最难防护与处理的P2P网络进行分析,并提供在WLAN环境下实际可行的处理机制。     

僵尸网络研究

僵尸网络是一种从传统恶意代码形态进化而来的新型攻击方式,为攻击者提供了隐匿、灵活且高效的一对多命令与控制机制,可以控制大量僵尸主机实现信息窃取、分布式拒绝服务攻击和垃圾邮件发送等攻击,僵尸网络对因特网安全已造成严重威胁。深入研究分析了僵尸网络的三种模型,并对僵尸网络的发现、追踪进行了探讨。     

在WLAN下构建P2P僵尸网络处理机制的研究

WLAN作为公共使用的网络环境,能够从源头入手处理僵尸网络获得良好效果,因此本文从网络结构开始,对时下最难防护与处理的P2P网络进行分析,并提供在WLAN环境下实际可行的处理机制.     

融入P2P技术的DoS攻击方式分析

随着各种新型技术的融入,拒绝服务(DoS)攻击已日益成为互联网上主要、多发、低成本、高危害性的安全威胁.文章介绍一系列现实中发生的攻击事件,通过分析分布式、僵尸网络,尤其是对等网络(P2P)技术的融入为DoS攻击带来的两次技术演进,探究目前常规DoS攻击的技术原理和发展趋势,为实施针对性的防御手段提供帮助.     

P2P僵尸网络检测技术

僵尸网络是目前互联网安全最严重的威胁之一.与IRC僵尸网络比,基于P2P协议控制的僵尸网络具有更强的安全性、鲁棒性和隐蔽性.文章介绍了典型P2P僵尸网络的工作原理,对其对等点发现机制进行了分类,分析了每类机制的弱点,在此基础上给出了相应的僵尸网络检测方法.     

基于报文大小的P2P僵尸网络检测方法

作为当今互联网面临的最为严重的安全威胁之一,僵尸网络已从传统的集中式结构演化至更难检测的P2P分布式结构。对P2P僵尸网络实施有效检测是当前网络安全领域的研究热点之一。文中提出一个基于报文大小的P2P僵尸网络检测方法。该方法仅依靠网络报文大小这一统计值即可实现对处于潜伏阶段的P2P僵尸网络的检测,也可对未知类型的P2P僵尸网络实施检测。在大量真实数据集上的实验结果表明,该检测方法可达到较高的准确率,同时仅有较低的误报率。     

基于流角色检测P2P botnet

提出了一种基于流角色的实时检测P2P botnet的模型,该模型从流本身的特性出发,使其在检测P2P botnet时处于不同的角色,以发现P2P botnet的本质异常和攻击异常,同时考虑到了网络应用程序对检测的影响。为进一步提高检测精度,提出了一种基于滑动窗口的实时估算Hurst指数的方法,并采用Kaufman算法来动态调整阈值。实验表明,该模型能有效检测新型P2P botnet。     

基于P2P技术的网络资源搜索机制研究

网络上充斥着海量的信息,并且还在不断地迅速增长。人们依靠传统搜索引擎来寻找自己想要的信息和资源,其效果已经显得有些不尽人意。P2P技术给人们带来了一种全新的检索理念和方式,必将成为未来搜索引擎的发展方向。文中对P2P技术、P2P搜索及其分类作了简单总结和比较,并指出了P2P搜索技术未来的发展方向。     

Adaptive traffic sampling for P2P botnet detection

Peer‐to‐peer (P2P) botnets have become one of the major threats to network security. Most existing botnet detection systems detect bots by examining network traffic. Unfortunately, the traffic volumes typical of current high‐speed Internet Service Provider and enterprise networks are challenging for these network‐based systems, which perform computationally complex analyses. In this paper, we propose an adaptive traffic sampling system that aims to effectively reduce the volume of traffic that P2P botnet detectors need to process while not degrading their detection accuracy. Our system first identifies a small number of potential P2P bots in high‐speed networks as soon as possible, and then samples as many botnet‐related packets as possible with a predefined target sampling rate. The sampled traffic then can be delivered to fine‐grained detectors for further in‐depth analysis. We evaluate our system using traffic datasets of real‐world and popular P2P botnets. The experiments demonstrate that our system can identify potential P2P bots quickly and accurately with few false positives and greatly increase the proportion of botnet‐related packets in the sampled packets while maintain the high detection accuracy of the fine‐grained detectors.     

基于Webshell的僵尸网络研究

以Web服务器为控制目标的僵尸网络逐渐兴起,传统命令控制信道模型无法准确预测该类威胁。对传统Webshell控制方式进行改进,提出一种树状拓扑结构的信道模型。该模型具备普适和隐蔽特性,实验证明其命令传递快速可靠。总结传统防御手段在对抗该模型时的局限性,分析该信道的固有脆弱性,提出可行的防御手段。     

On the resilience of P2P botnet footprints in the presence of legitimate P2P traffic

Botnet is a distributed platform for illegal activities severely threaten the security of the Internet. Fortunately, although their complicated nature, bots leave some footprints during the C&C communication that have been utilized by security researchers to design detection mechanisms. Nevertheless, botnet designers are always trying to evade detection systems by leveraging the legitimate P2P protocol as C&C channel or even mimicking legitimate peer‐to‐peer (P2P) behavior. Consequently, detecting P2P botnet in the presence of normal P2P traffic is one of the most challenging issues in network security. However, the resilience of P2P botnet detection systems in the presence of normal P2P traffic is not investigated in most proposed schemes. In this paper, we focused on the footprint as the most essential part of a detection system and presented a taxonomy of footprints utilized in behavioral P2P botnet detection systems. Then, the resilience of mentioned footprints is analyzed using three evaluation scenarios. Our experimental and analytical investigations indicated that the most P2P botnet footprints are not resilient to the presence of legitimate P2P traffic and there is a pressing need to introduce more resilient footprints.     

流量自适应的移动僵尸网络云控机制研究

僵尸网络从传统恶意代码进化而来,随着智能手机的计算能力与移动互联网接入技术的快速发展,构建移动僵尸网络已成为一种潜在的威胁。针对移动互联网,提出一种具有流量自适应性的移动僵尸网络云控机制,通过分析用户的流量使用情况,在3G和Wi-Fi不同网络环境下采取不同的流量使用策略,使用自适应的调度算法执行僵尸指令。仿真实验证明,在确保僵尸网络命令有效执行的情况下,流量自适应调度算法可有效增强移动僵尸网络的隐蔽性和实时性。     

对等网络流量信息结构异常的检测技术研究

随着信息技术的发展,对等网络P2P信息流量经常出现偏离正常范围的异常情况,这里以决策树算法为基础,对P2P流量检测和流量异常时的检测技术进行研究。采用改进的C4.5决策树P2P流量检测模型,通过P2P流量异常检测模型对大量训练数据集的训练,实现了对错误的逐步修正,通过试验室仿真试验可知,经过选择网络流量特征后,基于改进的C4.5决策树的P2P网络流量分类器能实现较好的分类效果,分类检测率在94.6%~96.7%,较高的检测率说明采用改进的C4.5决策树算法能有效地对P2P流量进行检测,为研究P2P流量异常检测技术提供了参考。     

基于僵尸网络流量特征的深度学习检测

僵尸网络作为一种新型攻击方式,如今已成为互联网安全领域面临的重大威胁。随着计算机网络的发展,僵尸网络逐渐从传统的基于IRC协议向基于HTTP协议转变。海量的HTTP数据流使得僵尸网络可以有效的隐藏自身,这给僵尸网络的检测和识别增加了难度。通过分析HTTP网络流量,获取僵尸网络流量特征,提出将深度学习应用于僵尸网络检测的方法。实验结果显示,该方法可以有效地、准确地从HTTP流量中检测僵尸网络。