一种关联网络和主机行为的延迟僵尸检测方法

• 作者: 何毓锟 嵇跃德 李强 郭东
• 来源期刊: 计算机学报
• 学科: 工学
• 关键词: 僵尸检测 延迟僵尸 滑动时间窗口 关联引擎 僵尸网络
• 年，卷（期）: 2014,（1）
• 所属期刊栏目: 网络安全行为分析
• 页码范围: 50-61
• 页数: 12页
• 分类号: TP393
• 字数: 11101字
• 语种: 中文
• DOI: 10.3724/SP.J.1016.2014.00050

摘要

僵尸网络对现有计算机网络安全构成了巨大的威胁.新型僵尸经常采用隐蔽技术躲避安全系统的检测.采用延迟响应手段的僵尸在网络活动和主机行为之间插入随机时间的延迟,迷惑现有使用关联的检测方法.针对延迟僵尸的网络活动和主机行为,提出了一个新的关联检测方法.针对延迟僵尸的网络活动和主机行为可能分散在不同时间窗口的问题,使用滑动时间窗口迭代算法,提高了检测准确率.针对单纯主机检测方法需要全局部署问题,使用推荐算法关联网络和主机行为,提高了检测的健壮性和准确率.分析了滑动时间窗口大小和主机检测工具部署率对检测准确率的影响.实验结果表明,方法能有效检测延迟僵尸,当网络中主机检测工具的部署率达到80％时,包括未部署检测工具的主机在内,准确率约为88％.