李晓利 ，汤光明 ，初 晓

1.信息工程大学，郑州 450004

2.中国人民解放军63895部队

1 引言

作为攻击者手中最有效的通用网络攻击平台，僵尸网络[1-2]已成为互联网安全的最大威胁之一。它是攻击者出于恶意目的，传播僵尸程序控制大量主机，并通过一对多的命令与控制信道所组成的网络[3]。僵尸程序[4-5]（Bot）作为运行在僵尸主机上的恶意程序，通过命令与控制信道接收控制者的各种指令，是恶意行为的最终执行者。因此，及早并有效地检测出主机中感染的Bot，是僵尸网络对抗中的关键环节。

传统的基于特征码的检测方法能够快速检测出流行的Bot，但却无法发现智能变种或新型Bot，基于行为分析的检测方法弥补了此缺陷[6]。Stinson等人[7]认为从网络中接收的数据是“被污染的数据”，若一个程序把这些数据作为系统调用的参数，则其具有被外部/远程控制的行为，据此提出通过监控Win32库函数的执行来检测Bot行为，并设计实现了BotSwat检测系统，由于该方法在库调用级监控被污染数据的传播，因此若Bot对网络数据进行带外加密就可逃避该系统的检测。Liu等人[8]指出一个典型的Bot在发作时表现出3种不变的特征：自启动；建立命令与控制信道；执行本地或远程的攻击；基于此设计实现了利用虚拟机技术检测这3种特征的系统-BotTracer，实验结果表明系统能够成功检测出所给的几种Bot，但前提是虚拟机不能被Bot检测到。Wurzinger等人[9]研究发现，Bot在收到攻击者的命令后会以一种特定的方式作出响应，提出使用基于特征码和基于异常的方法分别从Bot的命令接收和响应行为两个方面来构建检测模型。……