木马僵尸网络监测系统

2015-08-21姜开达

中国教育网络 2015年1期

2014年9月，国家互联网应急中心对木马、僵尸程序活动状况的抽样监测显示，中国大陆地区1,042,303个IP地址对应的主机被木马或僵尸程序秘密控制，被篡改的网站达11,152个。而对僵尸网络进行监测的目的是了解跟踪木马僵尸网络变化发展趋势，对控制服务器或动态域名进行屏蔽，掌握控制网络内的感染情况，并针对性地采取措施，最终保护终端用户的安全和利益。

上海交通大学木马僵尸网络监测系统开发主要涉及到以下几方面的工作:

1Linux平台下的高速包捕获和高性能DPI引擎

使用了零拷贝技术解决高速网络的流量捕获，多处优化了Linux操作系统，优化了开源的Snort 2.9版本并利用其作为DPI检测引擎，通过控制多检测进程并行工作充分利用了多核CPU资源和内存，通过日志文件到数据库的转储解决了突发峰值的数据库插入瓶颈，最大化提升了x86平台整体网络流量处理性能。

2 有害行为特征库的搜集、整理和提取验证工作

这是系统开发过程中耗时最久，投入资源最多，并且还在不断持续进行的一项工作。经过了多年积累和这次项目进一步研究，我们已经在僵尸网络、网站后门、网页篡改等有害行为的样本搜集、分析整理、特征提取、后期验证反馈等方面形成了一整套完整的流程和体系。系统研究了大量流行木马、各类僵尸网络的传播模型，初步了解了其传播和控制规律，并从中出抽取了大量的流量特征码和其特殊的应用行为。