Spamming Botnet網(wǎng)絡(luò)行為分析及檢測算法設(shè)計與實現(xiàn).pdf

1、目前僵尸網(wǎng)絡(luò)被認(rèn)為是垃圾郵件的主要來源,有效的發(fā)現(xiàn)并檢測垃圾郵件僵尸網(wǎng)絡(luò)是阻止垃圾郵件攻擊的有效方法。
　　使用蜜罐對這些僵尸網(wǎng)絡(luò)進(jìn)行捕獲和分析,可以發(fā)現(xiàn)僵尸主機在網(wǎng)絡(luò)中會存在多種異常行為:掃描開放的郵件代理、郵件發(fā)送速度快、同時連接多個郵件服務(wù)器發(fā)送郵件以及MX查詢異常等等。這些異常在僵尸網(wǎng)絡(luò)中比較普遍,可以作為異常特征來過濾僵尸主機。同時,僵尸網(wǎng)絡(luò)的郵件大小離散程度比郵件服務(wù)器要小的多,以此作為輔助手段能很好的區(qū)分僵尸主機和郵

2、件服務(wù)器。
　　結(jié)合現(xiàn)有檢測算法的優(yōu)點,提出了一種郵件行為異常和郵件內(nèi)容相似性匹配相結(jié)合的僵尸網(wǎng)絡(luò)檢測方法。檢測方法包含兩個模塊:異常行為告警模塊和內(nèi)容聚類模塊。首先通過分析校園網(wǎng)的網(wǎng)絡(luò)流量找出網(wǎng)絡(luò)行為相對比較異常的計算機進(jìn)行警告,在告警的同時還原得到每個告警計算機所發(fā)送的郵件;然后再重點分析這些還原得到的郵件,通過匹配郵件正文文本中的URL來估計這些計算機所屬僵尸網(wǎng)絡(luò)的規(guī)模。
　　檢測系統(tǒng)使用Libpcap庫進(jìn)行數(shù)據(jù)包捕獲