论文部分内容阅读
僵尸网络是一种结合病毒、木马、蠕虫技术为一体的信息安全威胁方式，其研究受到安全业界和学术机构的广泛关注。现有的僵尸网络检测方法，大多需要借助其他检测工具或外界条件，或者局限于某种特定的僵尸网络类型，不具有普适性。本文提出了一种基于网络流量相似性聚类的僵尸网络检测方案。本方案无需借助其他现有的检测工具，也无需依靠网络数据包的内部内容，只需根据流量持续表现出的时间行为特性和空间行为特性，通过不断的交叉匹配检测，即可挖掘出具有行为高度相似性的高风险"僵尸网络"主机群。通过实验结果证明，本方案在真实网络环境中具有较高的检测率与较低的漏报率。