基于流相似性的两阶段P2P僵尸网络检测方法

• 作者: 孙恩博 张小松 杨国武 牛伟纳 赵凌园
• 来源期刊: 电子科技大学学报
• 学科: 工学
• 关键词: 僵尸网络检测 会话特征 流相似性 P2P流量识别
• 年，卷（期）: 2017,（6）
• 所属期刊栏目: 计算机工程与应用
• 页码范围: 902-906,948
• 页数: 6页
• 分类号: TP311
• 字数: 4305字
• 语种: 中文
• DOI: 10.3969/j.issn.1001-0548.2017.06.019

摘要

僵尸网络利用诸如蠕虫、木马以及rootkit等传统恶意程序,进行分布式拒绝服务攻击、发送钓鱼链接、提供恶意服务,已经成为网络安全的主要威胁之一.由于P2P僵尸网络的典型特征是去中心化和分布式,相对于IRC、HTTP等类型的僵尸网络具有更大的检测难度.为了解决这一问题,该文提出了一个具有两阶段的流量分类方法来检测P2P僵尸网络.首先,根据知名端口、DNS查询、流计数和端口判断来过滤网络流量中的非P2P流量;其次基于数据流特征和流相似性来提取会话特征;最后使用基于决策树模型的随机森林算法来检测P2P僵尸网络.使用UNB ISCX僵尸网络数据集对该方法进行验证,实验结果表明,该两阶段检测方法比传统P2P僵尸网络检测方法具有更高的准确率.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	张小松	电子科技大学网络空间安全研究中心	36	272	8.0	15.0
5	杨国武	电子科技大学计算机科学与工程学院	22	84	4.0	8.0
6	赵凌园	电子科技大学计算机科学与工程学院	2	8	2.0	2.0
7	牛伟纳	电子科技大学网络空间安全研究中心	5	40	3.0	5.0
11	孙恩博	电子科技大学计算机科学与工程学院	1	5	1.0	1.0