一种关联网络和主机行为的延迟僵尸检测方法

摘要：

僵尸网络对现有计算机网络安全构成了巨大的威胁.新型僵尸经常采用隐蔽技术躲避安全系统的检测.采用延迟响应手段的僵尸在网络活动和主机行为之间插入随机时间的延迟,迷惑现有使用关联的检测方法.针对延迟僵尸的网络活动和主机行为,提出了一个新的关联检测方法.针对延迟僵尸的网络活动和主机行为可能分散在不同时间窗口的问题,使用滑动时间窗口迭代算法,提高了检测准确率.针对单纯主机检测方法需要全局部署问题,使用推荐算法关联网络和主机行为,提高了检测的健壮性和准确率.分析了滑动时间窗口大小和主机检测工具部署率对检测准确率的影响.实验结果表明,方法能有效检测延迟僵尸,当网络中主机检测工具的部署率达到80％时,包括未部署检测工具的主机在内,准确率约为88％.

关键词：僵尸检测、延迟僵尸、滑动时间窗口、关联引擎、僵尸网络

所属期刊栏目：37

分类号：TP393(计算技术、计算机技术)

资助基金：the National Natural Science Foundation of China under Grant No.61170265,the Fundamental Research Fund of Jilin University under Grant Nos.201003035,2011032.本课题得到国家自然科学基金61170265;吉林大学基本科研业务费项目201003035,201103253

在线出版日期：2014-03-07（万方平台首次上网日期，不代表论文的发表时间）

页数：共12页

页码：50-61