1、僵尸網(wǎng)絡(luò)已經(jīng)成為當(dāng)今互聯(lián)網(wǎng)上最主要的網(wǎng)絡(luò)攻擊平臺，可進(jìn)行分布式拒絕服務(wù)攻擊、發(fā)送垃圾郵件、釣魚、信息竊取等惡意網(wǎng)絡(luò)行為。隨著僵尸網(wǎng)絡(luò)的興起，研究僵尸網(wǎng)絡(luò)的檢測技術(shù)成為必然。
　　當(dāng)前主要包括四種僵尸網(wǎng)絡(luò)檢測技術(shù)：基于特征的檢測技術(shù)，基于數(shù)據(jù)流的檢測技術(shù)，基于蜜罐的檢測技術(shù)以及基于DNS的檢測技術(shù)?；谔卣鞯臋z測技術(shù)通常要等到僵尸網(wǎng)絡(luò)爆發(fā)之后提取特征，具有滯后性；基于數(shù)據(jù)流的檢測技術(shù)能更好的挖掘僵尸網(wǎng)絡(luò)本質(zhì)，但是誤報率與漏報率都較高

2、，很難在實際中部署；蜜罐技術(shù)是使用最廣泛的檢測技術(shù)，然而只有等到僵尸樣本被捕獲后才能分析，缺乏主動性；而基于DNS的檢測技術(shù)往往受到ISP管理約束，不具備通用性。
　　本文通過對以上檢測技術(shù)的分析，認(rèn)為流檢測技術(shù)在檢測多個僵尸程序和實時性上具有一定優(yōu)勢，從而提出了一種基于數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測模型，該模型首先對僵尸網(wǎng)絡(luò)流量特性進(jìn)行分類，而后計算網(wǎng)絡(luò)中惡意活動活躍度，最后對兩者進(jìn)行交叉關(guān)聯(lián)分析得到僵尸主機的IP地址。
　　該系統(tǒng)

3、分為五個部分：通信監(jiān)測平臺、活動監(jiān)測平臺、通信聚集模塊、活動聚集模塊、交叉關(guān)聯(lián)模塊。通信監(jiān)測平臺通過在網(wǎng)關(guān)上獲取網(wǎng)絡(luò)內(nèi)的流數(shù)據(jù)，并將其格式化后寫入日志。活動監(jiān)測平臺負(fù)責(zé)檢測可疑的活動，例如掃描、垃圾郵件、漏洞利用、二進(jìn)制下載等等。通信聚類模塊和活動聚類模塊根據(jù)監(jiān)測平臺產(chǎn)生的日志文件分別進(jìn)行各自的聚類過程。交叉關(guān)聯(lián)模塊將兩個聚類結(jié)果合并，找出同一個僵尸網(wǎng)絡(luò)中的可能成員主機。
　　最后本文在局域網(wǎng)里搭建了一個小型的僵尸網(wǎng)絡(luò)，模擬了端口