基于流量识别的僵尸网络检测技术研究

• 作 者: 董夏昕
• 出 处: 西安电子科技大学
• 发表日期: 2020年04期
• 关键词: 僵尸网络 流量分析 特征检测 单隐层神经网络

近几年来,随着互联网技术的飞速发展,万物互联的景象逐渐出现在人们的视野中。尤其是伴随着人工智能的发展,人们通过网络控制智能设备,工控设备也利用互联网管理工业设施,这种发展模式使得联网设备出现井喷式的增长。伴随着这些便利的还有愈加严峻的网络安全形势,在这其中僵尸网络作为一种攻击载体日益成为分布式拒绝服务攻击,加密勒索等恶意行为的载体,严重威胁着用户,企业及国家的安全。没有网络安全就没有国家安全,对于僵尸网络的检测与防御逐渐成为安全行业的热门话题,具有重要时代意义,在这些背景下,本文选择的研究课题是实现以流量识别的方式实现对僵尸网络进行检测。本文首先研究了僵尸网络的基本机理特性及现在主流的流量识别方式,通过分析选择了基于C&C流特征的检测方法并结合神经网络的方式实现大量流量数据的分析及检测。通过对原始流量进行解析,清洗及聚合首先建立了完整且合理的样本集,然后利用单隐层神经网络的方法建立了分类检测模型,通过对HTTP僵尸网络和P2P僵尸网络分别选取8维检测特征,并利用样本集对分类检测模型进行训练,实现了对于在已知僵尸网络类型的条件下实现对单类型僵尸网络的高精度检测,实验证明经过15次训练,对于P2P僵尸网络的检测准确率可以达到91.7%,对于HTTP僵尸网络的检测准确率达到94.1%,并且除了训练时间较长外,准确率等方面优于绝大多数机器学习算法。其次本文进行了在不区分僵尸网络类型情况下对于僵尸网络的检测研究,实现了具有可信度的无差别检测。通过对比两种类型僵尸网络和正常流量的差别,基于僵尸网络的行为周期性和相似性提出了用于两种僵尸网络无差别检测的10维特征,通过特征对比,可以良好地区分僵尸网络流量和正常流量,并通过实验验证的方式设定隐层节点数目,经过15次训练,可以实现准确率为77.2%的检测效果。同时该模型对HTTP僵尸网络检测能力相对较好,当样本集中HTTP流较多时检测率相对较高。最后针对于当训练样本集中僵尸网络流量和正常流量严重不均衡时,分类模型检测效果差的情况,提出了基于采样的样本处理方法。处理过程中通过ENN清理处于数量优势的正常流量噪声样本数目,并通过自适应合成采样算法由僵尸流量样本生成僵尸流量样本,最终实现两种样本数目的均衡,同时经过处理的样本质量更高且更已被划分,从而解决了模型对于不均衡数据集的分类检测能力,同时训练时间平均缩短为原来的1/2。