1、隨著互聯(lián)網的飛速發(fā)展，網絡安全逐漸成為一個潛在的巨大問題。過去幾年中，僵尸網絡是互聯(lián)網上發(fā)起攻擊最常用的手段，已成為網絡安全專業(yè)人員所面臨的最大難題之一。僵尸網絡的主要惡意攻擊技術和傳播手段已經相對比較完善，新出現的僵尸程序可以在此基礎上，不斷加入新的攻擊技術和傳播手段。當前，僵尸網絡已經逐漸發(fā)展為規(guī)模龐大、功能復雜、傳播廣泛的惡意網絡，成為互聯(lián)網最為嚴重的網絡威脅之一。
　　當前國內外的研究工作在僵尸網絡檢測方面已經有很多成果，

2、但還不能夠滿足僵尸網絡泛濫成災、快速發(fā)展的現狀。目前僵尸網絡檢測技術大多集中在針對歷史數據的離線檢測上，沒有考慮檢測的效率問題。同時，現有技術大都針對集中式結構的IRC(Internet Relay Chat)僵尸網絡，沒有考慮P2P僵尸網絡檢測問題。并且，可以適用于各種類型僵尸網絡的通用在線檢測技術還沒有出現。針對以上情況，本文對僵尸網絡在線檢測技術進行了深入研究，主要研究針對IRC以及P2P僵尸網絡的在線檢測技術，除了保證僵尸網絡的

3、檢測精度，更加專注于檢測的效率問題。同時，針對各種類型的僵尸網絡提出通用的在線檢測策略。
　　本文對僵尸網絡在線檢測的關鍵技術進行了深入研究，主要研究內容包括如下幾個方面:
　　(1)提出網絡流量數據流模型的構建方法。根據僵尸網絡在線檢測的需求，將網絡流量數據抽象為數據流模型;并根據檢測的不同需求，利用網絡流量數據的不同特征構建不同類型的數據流。
　　(2)提出基于高相似性搜索的IRC僵尸網絡在線檢測技術。首先將網絡流

4、量數據轉換為特征數據流，利用增量式離散傅立葉變換技術，搜索特征流之間的高相似性，作為僵尸流量存在的依據，最后通過拓撲分析構建IRC僵尸網絡結構。
　　(3)提出基于周期性分析和相似性分析的P2P僵尸網絡在線檢測技術。首先將網絡流量數據轉換為通信流，利用布爾自相關技術快速搜索通信流的周期性模式，利用增量聚類技術搜索多個通信流的高相似性，實現可疑P2P僵尸主機的在線檢測。通過現有的入侵檢測系統(tǒng)對其進行重點跟蹤，如果發(fā)現該主機具有惡意行

5、為特征，則可確認P2P僵尸主機身份。
　　(4)提出基于主機行為異常的P2P僵尸網絡在線檢測技術。首先構建主機行為流模型，并抽象出主機行為流的典型行為特征，然后利用統(tǒng)計學中的假設檢驗技術，確定主機的異常行為，作為可疑P2P僵尸主機存在的依據。采用一種預處理策略，利用信息熵技術確定網絡流量中的異常點。當不存在異常點時，不啟動檢測引擎，過濾掉大量的正常網絡流量。通過該策略，可以大大降低系統(tǒng)的開銷，從而滿足在線檢測的效率問題。
　

6、　(5)提出獨立于協(xié)議類型的僵尸網絡在線檢測技術。首先采用增量式分類技術實現網絡流量數據的群組劃分，識別出不同僵尸協(xié)議類型的網絡流量，分類過程對決策規(guī)則進行修正，從而保證后期檢測的精度要求。然后利用動態(tài)聚類技術實現可疑僵尸主機的通用檢測，聚類過程可以進行自適應調整，避免了復雜的重復聚類操作，大大降低了計算開銷，可以從海量網絡流量數據中快速檢測各種類型的可疑僵尸主機。
　　總之，本文研究了基于網絡流量分析的僵尸網絡在線檢測技術。實驗