论文部分内容阅读
摘 要 近年来出现的CXPST攻击等新型攻击，需同时对多个目标实施精确打击以达到大规模网络瘫痪的目的，对其实施平台——僵尸网络提出了同时向不同僵尸节点发布不同命令的要求。然而已有的命令发布机制只支持同时向所有僵尸节点发布相同命令，无法有效地支持新型攻击，为解决该问题，提出基于Kademlia的命令定向发布机制，以C类网段为单位进行命令发布范围划分，依据不同命令发布范围生成不同Key值以实现命令的定向发布。针对该机制进行基于虚拟化的网络模拟实验，实验结果验证了机制的有效性。
关键词 僵尸网络；命令定向发布机制；精确打击
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）22-0027-01
僵尸网络是一种用于攻击目的的大规模受控网络，可遂行DDoS攻击、网络钓鱼等多样化任务，是目前最为有效的攻击平台之一。近年来出现Coremelt攻击、CXPST攻击等针对大规模网络的致瘫攻击方式，这类攻击要求控制者能够对僵尸网络进行灵活控制，同时发布海量命令以完成复杂的网络信息搜集和攻击任务规划。然而，现有僵尸网络由于其命令发布机制只支持向所有节点同时发布相同命令，不具备同时向不同节点发布不同命令的能力。为更好地应对未来可能出现的新型僵尸网络，应及时对僵尸网络命令定向发布能力进行研究，为新型僵尸网络防御提供理论基础和技术支持。
1 相关研究
现有僵尸网络命令发布方式可分为PUSH型和PULL型，前者典型代表是P.Wang在文献[4]中提出的Hybrid僵尸网络，通过向网络洪泛发送命令，每次只能发送一个命令，无法实现命令的定向发布；而PULL型僵尸网络中每个节点主动请求命令，从理论上来讲，接受请求一方可以根据发起请求者的身份给予不同的命令，该类型僵尸网络具备实现命令定向发布的潜力。
采用集中式的IRC和HTTP僵尸网络是典型的PULL型僵尸网络，这类僵尸网络依赖于单个或少量的命令控制服务器发送命令，鲁棒性很差，已逐渐被淘汰。而全分布式结构化僵尸网络是采取PULL策略的P2P僵尸网络，具有很好的生存力，2009年G.Starnberger等人提出了新型僵尸网络Overbot，通过复杂Key生成算法，为每个节点生成随时间变化的Key，理论上Overbot的控制者可以根据不同的Key向每一个节点发送不同的命令，但是实际上Overbot的命令获取机制极为复杂，不仅造成大量无用流量，而且也影响节点的命令获取率，实用性较差。
2 命令定向发布模型
2.1 需求分析
CXPST等新型网络攻击对命令发布提出了如下需求：1）侦察，每个网段中一个或少量节点对目标网络进行侦察；2）攻击，大量节点向目标链路发送攻击流量；3）评估，每个网段中一个节点对目标网络受损程度进行评估。为了兼容已有的命令发布机制，还需具备所有节点接受相同命令的能力，以实施传统DDoS攻击和收集节点自身信息。
2.2 命令集设计
为了实现命令定向发布，需将僵尸网络节点进行分组管理，在节点组和命令发布范围之间建立映射，使控制者可以根据任务发布的需求实现命令定向发布。
僵尸网络命令发布最细粒度为每个节点获取不同命令，最粗为所有节点获取相同命令。前者典型代表是基于Kademlia的Overbot，每个节点产生不同的命令查询Key，理论上每个节点都可获得不同命令，但由于其结构过于复杂，实际中难实现；而目前绝大多数僵尸网络属于后者。
2 实验测试
2.1 性能参数定义
为了测试命令发布模型的可行性，实验从可达性和获取命令的效率两个方面进行测试：
可达性：
对于可达性，主要从获取全局命令的个数和各网段接受不同命令的个数两方面考察，指标定义如下：
获取系数=实际获取命令的节点个数/应获取命令的节点个数
平均获取率=网段获取系数之和/网段个数
网段获取系数=网段内实际获取命令的节点个数/网段内应获取命令的节点个数
2.2 实验环境
为了验证机制的有效性，在虚拟化服务器搭建实验网络，硬件平台为一台DL380G6服务器，该服务器上安装20台虚拟机，每个虚拟机上利用多线程运行20个僵尸网络程序，总共可模拟400个僵尸节点。其中，包含4个网段，每个网段含有100个节点。
2.3 实验结果
开始实验时，命令注入节点启动，与此同时，所有僵尸网络节点均被启动；在4个网段内下达不同命令，每个网段内的节点通过自身的网段号获取该网段的统一Key值，而每个节点每5s向命令发布节点发起命令请求FIND_VALUE操作，期间采集数据，一分钟后停止，进行可达性、命令获取效率等测试。
3 总结与展望
新兴网络攻击方式需要僵尸网络具备命令的定向发布能力，而传统僵尸网络简单的命令发布机制无法提供相应支持。本文提出了基于命令范围划分的命令定向发布机制，僵尸网络控制者可以同时向僵尸网络发布不同命令，使得僵尸网络具备实施CXPST攻击等新型网络攻击的能力，实验验证了新型命令发布机制具有良好的性能。
本文提出的方案还存在一定的不足，主要是本文中对命令定向发布范围的划分是以C类网段为标准，如果命令发布的范围为A类网段，需要拆分成多个C类网段，出现发布效率低下的问题，这还需要我们在未来进行更多的工作。
参考文献
[1]诸葛建伟，韩心慧，周勇林，等.僵尸网络研究与进展[J].软件学报，2008，19（3）：702-715.
[2]华骏，黄志球，周华.一种基于SIP事务层扩展的安全模型[A].第13届全国计算机、网络在现代科学技术领域的应用学术会议论文集[C].2007.
[3]陈威.IP电话系统的QoS的研究与实现[A].2007中国科协年会——通信与信息发展高层论坛论文集[C].2007.
[4]宋永鹏，詹舒波.SIP协议与安全威胁分析[A].2008通信理论与技术新进展——第十三届全国青年通信学术会议论文集（上）[C].2008.
[5]张骏，吴强，朱江淼，刘明亮.视频会议终端开源代码分析[A].2007中国仪器仪表与测控技术交流大会论文集（一）[C].2007.
[6]韩心慧，司端锋，邹维，叶志远.多方实时通信中一种强丢包依赖条件下的自适应FEC算法研究[A].2005通信理论与技术新进展——第十届全国青年通信学术会议论文集[C].2005.
关键词 僵尸网络；命令定向发布机制；精确打击
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）22-0027-01
僵尸网络是一种用于攻击目的的大规模受控网络，可遂行DDoS攻击、网络钓鱼等多样化任务，是目前最为有效的攻击平台之一。近年来出现Coremelt攻击、CXPST攻击等针对大规模网络的致瘫攻击方式，这类攻击要求控制者能够对僵尸网络进行灵活控制，同时发布海量命令以完成复杂的网络信息搜集和攻击任务规划。然而，现有僵尸网络由于其命令发布机制只支持向所有节点同时发布相同命令，不具备同时向不同节点发布不同命令的能力。为更好地应对未来可能出现的新型僵尸网络，应及时对僵尸网络命令定向发布能力进行研究，为新型僵尸网络防御提供理论基础和技术支持。
1 相关研究
现有僵尸网络命令发布方式可分为PUSH型和PULL型，前者典型代表是P.Wang在文献[4]中提出的Hybrid僵尸网络，通过向网络洪泛发送命令，每次只能发送一个命令，无法实现命令的定向发布；而PULL型僵尸网络中每个节点主动请求命令，从理论上来讲，接受请求一方可以根据发起请求者的身份给予不同的命令，该类型僵尸网络具备实现命令定向发布的潜力。
采用集中式的IRC和HTTP僵尸网络是典型的PULL型僵尸网络，这类僵尸网络依赖于单个或少量的命令控制服务器发送命令，鲁棒性很差，已逐渐被淘汰。而全分布式结构化僵尸网络是采取PULL策略的P2P僵尸网络，具有很好的生存力，2009年G.Starnberger等人提出了新型僵尸网络Overbot，通过复杂Key生成算法，为每个节点生成随时间变化的Key，理论上Overbot的控制者可以根据不同的Key向每一个节点发送不同的命令，但是实际上Overbot的命令获取机制极为复杂，不仅造成大量无用流量，而且也影响节点的命令获取率，实用性较差。
2 命令定向发布模型
2.1 需求分析
CXPST等新型网络攻击对命令发布提出了如下需求：1）侦察，每个网段中一个或少量节点对目标网络进行侦察；2）攻击，大量节点向目标链路发送攻击流量；3）评估，每个网段中一个节点对目标网络受损程度进行评估。为了兼容已有的命令发布机制，还需具备所有节点接受相同命令的能力，以实施传统DDoS攻击和收集节点自身信息。
2.2 命令集设计
为了实现命令定向发布，需将僵尸网络节点进行分组管理，在节点组和命令发布范围之间建立映射，使控制者可以根据任务发布的需求实现命令定向发布。
僵尸网络命令发布最细粒度为每个节点获取不同命令，最粗为所有节点获取相同命令。前者典型代表是基于Kademlia的Overbot，每个节点产生不同的命令查询Key，理论上每个节点都可获得不同命令，但由于其结构过于复杂，实际中难实现；而目前绝大多数僵尸网络属于后者。
2 实验测试
2.1 性能参数定义
为了测试命令发布模型的可行性，实验从可达性和获取命令的效率两个方面进行测试：
可达性：
对于可达性，主要从获取全局命令的个数和各网段接受不同命令的个数两方面考察，指标定义如下：
获取系数=实际获取命令的节点个数/应获取命令的节点个数
平均获取率=网段获取系数之和/网段个数
网段获取系数=网段内实际获取命令的节点个数/网段内应获取命令的节点个数
2.2 实验环境
为了验证机制的有效性，在虚拟化服务器搭建实验网络，硬件平台为一台DL380G6服务器，该服务器上安装20台虚拟机，每个虚拟机上利用多线程运行20个僵尸网络程序，总共可模拟400个僵尸节点。其中，包含4个网段，每个网段含有100个节点。
2.3 实验结果
开始实验时，命令注入节点启动，与此同时，所有僵尸网络节点均被启动；在4个网段内下达不同命令，每个网段内的节点通过自身的网段号获取该网段的统一Key值，而每个节点每5s向命令发布节点发起命令请求FIND_VALUE操作，期间采集数据，一分钟后停止，进行可达性、命令获取效率等测试。
3 总结与展望
新兴网络攻击方式需要僵尸网络具备命令的定向发布能力，而传统僵尸网络简单的命令发布机制无法提供相应支持。本文提出了基于命令范围划分的命令定向发布机制，僵尸网络控制者可以同时向僵尸网络发布不同命令，使得僵尸网络具备实施CXPST攻击等新型网络攻击的能力，实验验证了新型命令发布机制具有良好的性能。
本文提出的方案还存在一定的不足，主要是本文中对命令定向发布范围的划分是以C类网段为标准，如果命令发布的范围为A类网段，需要拆分成多个C类网段，出现发布效率低下的问题，这还需要我们在未来进行更多的工作。
参考文献
[1]诸葛建伟，韩心慧，周勇林，等.僵尸网络研究与进展[J].软件学报，2008，19（3）：702-715.
[2]华骏，黄志球，周华.一种基于SIP事务层扩展的安全模型[A].第13届全国计算机、网络在现代科学技术领域的应用学术会议论文集[C].2007.
[3]陈威.IP电话系统的QoS的研究与实现[A].2007中国科协年会——通信与信息发展高层论坛论文集[C].2007.
[4]宋永鹏，詹舒波.SIP协议与安全威胁分析[A].2008通信理论与技术新进展——第十三届全国青年通信学术会议论文集（上）[C].2008.
[5]张骏，吴强，朱江淼，刘明亮.视频会议终端开源代码分析[A].2007中国仪器仪表与测控技术交流大会论文集（一）[C].2007.
[6]韩心慧，司端锋，邹维，叶志远.多方实时通信中一种强丢包依赖条件下的自适应FEC算法研究[A].2005通信理论与技术新进展——第十届全国青年通信学术会议论文集[C].2005.