宋元章，何俊婷，张波，王俊杰，王安邦

(1.中国科学院 长春光学精密机械与物理研究所，吉林 长春 130033；2.中国第一汽车股份有限公司 技术中心汽车电子部电控产品设计室，吉林 长春 130011)

1 引言

僵尸网络（botnet）是攻击者(botmaster)通过bot程序控制的恶意计算机群。它是从传统恶意代码形态进化而来的目前对Internet最有效的攻击方式。攻击者可以通过改变botnet的负载方便地发起DDoS攻击、发送垃圾邮件(spamming)等。非集中控制的分散式网络结构将是botnet未来的发展趋势。2007年出现的Storm botnet是新型P2P botnet的代表，它使用基于P2P的Overnet/eDonkey网络维持C&C(command and control)[1]。

新型分散式botnet将P2P网络的分散式拓扑结构引入到botnet的C&C机制中，在整个botnet中没有控制中心，即使一部分bot节点被剔除，剩余的bot节点仍能构成有效的攻击网络，因此针对传统的集中式botnet的单个控制中心的检测和防御方法已经失效。新型P2P botnet的检测已成为当前网络安全研究的重大问题。

在详细分析Storm botnet行为与特征的基础上，本文提出了一种新型的基于流角色的实时检测P2P botnet模型—RF。流角色是指基于网络流自身的特性所决定的其在检测P2P botnet时所起的作用，假设P2P botnet发动攻击时会导致某种网络流的异常，那么就可通过检测该网络流的特征来检测P2P botnet导致的“攻击异常”，这就可以看作是该网络流在检测P2P botnet时的角色。本文提出的RF模型从流本身的特性出发，使其在检测P2P botnet时处于不同的角色，以发现P2P botnet的本质异常和攻击异常：通过对UDP流和ICMP流的处理发现botnet的固有特征导致的“本质异常”，因为UDP流和ICMP流与botnet的C&C机制直接相关；……