僵尸网络指纹特征自动提取技术.pdfVIP

2011年8月 北 京 邮 电 大 学 学 报 Aug.2011 第34卷 第4期 Journal of Beijing University of Posts and Telecommunications Vol.34 No.4 摇 摇 文章编号:1007鄄5321(2011)04鄄0109鄄04 僵尸网络指纹特征自动提取技术 1,2 1 1 1 王新良 ,摇 刘摇 芳 ,摇 马摇 婧 ,摇 雷振明 (1郾 北京邮电大学 信息与通信工程学院,北京 100876;2郾 河南理工大学 电气工程与自动化学院,河南 焦作454100) 摘要:为了能够快速掌握指纹特征并及时准确检测新型僵尸网络,对指纹特征提取算法进行了研究. 在已有算法 的基础上依据僵尸网络指纹特征分布的特点,提出了适用于该指纹特征自动提取的算法及系统设计框架,使其能 够自适应地对不同功能的数据流分别进行指纹特征提取. 实验结果表明,改进后算法获取的有效指纹特征数要远 远优于改进前算法提取的有效特征数,从而能够更好地检测僵尸网络的众多变种. 关摇 键摇 词:僵尸网络;指纹特征提取;聚类 中图分类号:TP393郾08摇 摇 摇 摇 文献标志码:A Research of Automatically Generating Signatures for Botnets 1,2 1 1 1 WANG Xin鄄liang ,摇 LIU Fang ,摇 MA Jing ,摇 LEI Zhen鄄ming (1郾School of Information and Communication Engineering,Beijing University of Posts and Telecommunications,Beijing 100876,China; 2郾School of Electrical Engineering and Automation,Henan Polytechnic University,Henan Jiaozuo454100,China) Abstract:Inordertoattainthesignaturecharacteristicsrapidly anddetectunknownbotnetsprecisely,an automatedextractingsignaturesalgorithmandasystemdesigningframeworkarepresentedaccordingtothe distribution ofthebotnetsignaturecharacteristics,theycanself鄄adaptivelyextractthesignaturecharacter鄄 isticsondataflowsof differentfunctions. Experiment showsthattheimprovedalgorithmacquiresfarmore effective signatures than before and so it can detect the numerous variants of the botnet efficiently. Key words:botnet;signature generation;cluster [1] 摇 摇 尽管基于流统计特征 和僵尸网络行为等异 并不适用于僵尸网络的指纹特征提取. 文献[4]中 常检测方法具备检测未知类型僵尸网络的能力,但 利用净荷中字节的分布规律提取指纹,而非理想中 其准确性仍有待改进. 虽然基于指纹特征的深度报