张斯捷，苏 旸

（1.武警工程大学 研究生管理大队12队，陕西 西安710086；2.武警工程大学 电子技术系网络与信息安全研究室，陕西 西安710086）

0 引 言

基于P2P的僵尸网络因其无中心服务器的体系结构，各结点之间通过DHT协议进行通信，每个结点既是控制指令的接收者，也是发送者，具有较强的健壮性，传统的安全技术不能很好的进行防御。针对这种情况，本文在僵尸网络病毒的一般性行为特征基础上设计了一种基于域的P2P僵尸网络的防御体系，并提出了利用僵局网络通信数据流特征向量的相似度分析解决因僵尸结点过少，无法检测出IP聚焦而无法识别僵尸结点的情况。最后通过仿真实验与流量开销分析，证明了该体系在较低网络开销的情况下能有效的减少网络中僵尸结点的数量，具有较高的性能和通用性。

1 研究背景

1.1 研究现状

现今，对于僵尸网络的研究的大部分工作主要集中在采用集中式结构C＆C的僵局网络的研究，主要采用以下技术：密罐与密网、DNS［1］检测与DNSL反向检测、流量模式识别聚类、时间与空间相关性等技术［2］，而对于基于P2P结构C＆C的僵尸网络的研究还并不成熟，没有一个有效的构架。

文献 ［3］提出的利用机器人学习方法的BotSniffer方案只有在各个节点通信比较频繁的情况下才能达到较好的效果；文献 ［4］提出的独立于具体协议的P2PBotnet检测方法需要大量而全面的训练数据，如果网络环境发生变化，就需要重新获得训练数据。文献 ［5］提出的将探测器分布到网络中每台计算机上以检测不同位置上的网络分组的方案会造成较大的网络开销。……