基于CommandandControl通信信道流量属性聚类-电子与信息学报.PDFVIP

第 34 卷第 8 期 电 子 与 信 息 学 报 Vol.34No.8 2012 年 8 月 Journal of Electronics Information Technology Aug. 2012 基于Command and Control 通信信道流量属性聚类的僵尸网络检测方法 苏 欣① 张大方*① 罗章琪① 曾 彬② 黎文伟① ①(湖南大学信息科学与工程学院 长沙 410082) ②(中国移动湖南分公司 长沙 410015) 摘 要：僵尸网络(Botnet)是一种从传统恶意代码形态进化而来的新型攻击方式，为攻击者提供了隐匿、灵活且高 效的一对多命令与控制信道(Command and Control channel, CC)机制，可以控制大量僵尸主机实现信息窃取、 分布式拒绝服务攻击和垃圾邮件发送等攻击目的。该文提出一种与僵尸网络结构和 CC 协议无关，不需要分析数 据包的特征负载的僵尸网络检测方法。该方法首先使用预过滤规则对捕获的流量进行过滤，去掉与僵尸网络无关的 流量；其次对过滤后的流量属性进行统计；接着使用基于 X-means 聚类的两步聚类算法对 CC 信道的流量属性 进行分析与聚类，从而达到对僵尸网络检测的目的。实验证明，该方法高效准确地把僵尸网络流量与其他正常网络 流量区分，达到从实际网络中检测僵尸网络的要求，并且具有较低的误判率。 关键词：网络检测；聚类；僵尸网络检测；命令与控制信道；流量属性 中图分类号：TP393 文献标识码： A 文章编号：1009-5896(2012)08-1993-07 DOI: 10.3724/SP.J.1146.2011.01098 Botnet Detecting Method Based on Clustering Flow Attributes of Command and Control Communication Channel ① ① ① ② ① Su Xin Zhang Da-fang Luo Zhang-qi Zeng Bin Li Wen-wei ① (Information Science and Engineering College Hunan University, Changsha 410082, China) ② (China Mobile Group Hunan Company Limited, Changsha 410015, China) Abstract: Botnet is a novel attack strategy evolved from traditional malware forms; It provides the attackers stealthy, flexible and efficient one to many Command and Control (CC) mechanisms, which can be used to order an army of zombies to achieve the goals including information theft, launching Distributed Denial of Service (DDoS), and sending spam. This paper proposed a botnet detecting method which in