论文部分内容阅读
僵尸网络(Botnet)是攻击者出于恶意目的，传播僵尸程序将大量主机感染成僵尸主机，并通过一对多的命令和控制信道进行控制所组成的网络。它是近年来兴起的危害因特网的重大安全威胁之一。僵尸网络的跟踪就是使用客户端蜜罐工具进入僵尸网络内部，记录其通信内容，监测其行为。对僵尸网络进行跟踪能够帮助人们深入了解僵尸网络的运行机制，为僵尸网络的防治提供思路，从而减轻僵尸网络对因特网的威胁，进而提高因特网的安全性。
本论文介绍了对目前主流IRC僵尸网路进行跟踪的方法，及其跟踪工具的实现机制：即通过蜜网及样本交换等途径收集大量僵尸程序(Bot)，并通过对僵尸程序的动态分析获取进入僵尸网络命令和控制信道的必需信息，最后使用客户端蜜罐工具对IRC僵尸网络进行全面跟踪。
本文的具体工作包括：
1、研究IRC僵尸网络的运行机制，分析主流僵尸网络控制协议——IRC协议，以此为基础寻找对僵尸网络进行全面跟踪的办法；
2、在“基于蜜网技术的僵尸网络监测系统”项目中设计并实现了应用僵尸网络跟踪方法的客户端蜜罐工具——HoneyBot僵尸网络跟踪工具；
3、对僵尸网络的活动行为记录进行了深入调查和分析，给出了目前因特网上实际僵尸网络的控制服务器分布、僵尸网络规模与被控主机分布、僵尸网络各种攻击行为的分析结果。
本文所述工具与其它跟踪工具相比最大的区别在于它能够对僵尸网络进行持续且全面的跟踪。目前，该工具已经得到了良好的实际应用，在8个多月的时间里对1，961个实际僵尸网络进行了持续跟踪，并获取了大量有价值的僵尸网络监测数据，取得了良好的应用效果。