樊郁徽，徐宁

（淮南师范学院，安徽 淮南 232038）

综合特征行为的P2P僵尸网络的检测算法

樊郁徽，徐宁

（淮南师范学院，安徽 淮南 232038）

通过对基于P2P协议的僵尸主机的运行机制的研究，将其生存周期划分为三个特征阶段，综合每个阶段P2P僵尸主机所表现出的不同特征行为，提出综合特征行为的P2P僵尸网络的检测算法。通过对捕获的网络出口流量采取离线检测与在线检测相结合的方法，逐层分步对P2P僵尸主机进行筛检并定位，能够有效降低误报率，并将处于攻击阶段的P2P僵尸主机进行及时隔离，降低P2P僵尸网络的危害。

P2P；僵尸网络；特征行为

1 引言

中国上网用户数已经达到4.5亿，但中国国家计算机网络应急技术处理协调中心(CNCERT)发布的《2010年中国互联网网络安全报告》称2010年僵尸网络控制服务器IP总数为13782个。其中，境内僵尸网络控制服务器IP数量为7251个，境外僵尸网络控制服务器IP数量为 6531个。2010年僵尸网络受控主机IP总数为5622023个。其中，境内僵尸网络受控主机IP数量为470120个，境外僵尸网络受控主机IP数量为5151903个[1]。由僵尸网络而引发的在网络上窃密、发动DDoS攻击和发送大量的垃圾邮件等方面，对政府部门、商业机构以及普通用户造成了严重危害，成为影响互联网安全的重要因素。

2 相关研究

构成僵尸网络的命令与通信机制大概分为三种形式：（1）传统的基于IRC协议的僵尸网络；（2）基于HTTP协议的僵尸网络；（3）基于P2P协议的僵尸网络。基于IRC协议的僵尸网络使用的端口由于容易受到防火墙的过滤而……