肖 琦,徐文龙

(中国计量大学 信息工程学院,浙江 杭州 310018)

随着互联网服务的普及和活跃使得用户数量的不断增加,以致互联网安全越来越受到重视。在诸多问题中,僵尸网络已经成为其中最严重的威胁之一[1]。僵尸网络是由一组被恶意软件攻击的主机组成,在远程主机的控制下执行不同类型的攻击活动,例如:发起分布式拒绝服务(DDoS)攻击，窃取敏感信息，发送垃圾邮件等等[2]。僵尸网络一般由三个组件构成,分别是受控主机、远程主机和命令与控制(C&C)服务器。受控主机指被恶意软件感染过的主机;远程主机则是由拥有僵尸网络并控制僵尸网络的恶意操控者组成;命令与控制服务器用于建立操控者和受控主机之间的联系,以便控制者顺利开展相关恶意活动。

僵尸网络的非法活动对很多组织或企业造成了重大损害和财务损失。在最近的一项调查中,1 000家被调查企业中有300家遭受了DDoS攻击,65%的攻击每小时造成高达1万美元的损失。根据全球数据统计,中国成为遭受DDoS攻击的重灾区,每年承受DDoS攻击数量占全球总量的百分之八十多[3]。由于这些损失,使僵尸网络检测受到了相当多的关注。因此,有效地检测出僵尸网络成为亟待解决的问题。

近年来,僵尸网络检测是的一个主要研究课题,学术界已经提出了不同的解决方案。大致可以分为五种:基于特征码的检测方法[4],基于异常的检测方法[5-7],基于域名系统的检测方法[8-10]和基于机器学习的检测方法[11-12]。……