僵尸网络

摘要： 1第四季度全国互联网网络安全基本态势根据国家计算机网络应急技术处理协调中心(CN‐CERT/CC)通报,2021年第四季度我国互联网网络运行正常,互联网基础设施总体运行平稳。大陆地区木马和僵尸网络程序受控端约为1090万个IP,比上一季度环比增加78.57%;木马和僵尸网络程序控制端约为3.67万个IP,环比减少41.04%;发现网站后门7152个IP;发生网页篡改约17791个IP。国家信息安全漏洞共享平台(CNVD)收录漏洞6482个,其中高危漏洞1777个;收录0day漏洞3717个。

摘要： Fast-Flux恶意域名是僵尸网络通信中的一种重要载体,通过快速变换域名解析的IP抵御检测。目前,恶意域名检测系统大多基于传统机器学习模型,需要对数据进行复杂处理和特征提取,并且需要借助大量第三方数据源,导致检测的实时性较差。域名解析是一个复杂的过程,并且具有丰富的特征,文章设计了基于多模态特征融合的Fast-Flux恶意域名检测方法。首先利用GCN模块提取空间特征,采用BiLSTM模块提取域名文本特征,然后利用MLP模块提取侧信息特征,最后利用神经网络将这3种特征进行融合。在Fast-Flux-Attack-Datasets公开数据集上进行实验,实验结果表明,该方法的精确率达99.94%、召回率达99.76%、准确率达99.69%,总体效果优于当前同类方法。文章所提方法有效融合了域名解析的多模态特征,明显提升了检测效果,对于提高僵尸网络检测能力具有重要意义。

摘要： 随着信息技术的革新与进步,物联网技术在各个领域的应用呈现爆发式增长,然而大部分物联网设备却面临着黑客攻击的威胁。基于物联网设备的僵尸网络节点迅猛增长,导致了大规模DDoS攻击等网络安全事件,给物联网用户造成了极大损失。因此,研究以Mirai病毒为代表的一系列僵尸网络恶意威胁在物联网设备节点间的传播规律至关重要。首先,为了细致刻画物联网僵尸网络的形成过程,将物联网中的设备节点分为传输性设备节点和功能性设备节点,并通过对Mirai病毒感染机制的分析,提出了一个新颖的物联网病毒传播动力学模型——SDIV-FB模型。其次,从理论上计算了模型的传播阈值和平衡点,并对平衡点的稳定性进行了证明和分析。通过数值仿真实验验证了理论结果,并分析了模型参数对物联网病毒传播过程的影响。最后,确定了影响物联网僵尸网络病毒传播的重要参数,提出降低感染率和提高清除率可作为抑制物联网僵尸网络的有效控制策略。

摘要： 随着物联网设备数量的快速增长,被劫持的物联网设备组成的僵尸网络发起非法攻击的频率大大增加,物联网设备的安全性已经成为一个严峻的问题。为了检测物联网设备发起的异常流量,提出一种集成学习的个体学习器选择算法(individual learner selection algorithm,IISA),IISA是一种基于相关系数度量的选择方法,利用相关系数将相似度差异大的个体学习器集成起来并采用投票的方式进行判决,在减少个体学习器的同时,提高检测的准确度和检测效率。实验结果表明,和八种半监督机器学习检测算法相比,其查全率最大降低9.12%,准确率最大提高4.69%,检测效率最大提高70.72%。

摘要： 针对现有的僵尸网络研究工作所检测的僵尸网络生命周期的阶段较为单一的问题,提出基于集成学习的僵尸网络在线检测方法。首先,细粒度地标记僵尸网络多个阶段的流量,生成僵尸网络数据集;其次,结合多种特征选择算法生成包含23个特征的重要特征集和包含28个特征的次重要特征集,基于Stacking集成学习技术集成多种深度学习模型,并针对不同的初级分类器提供不同的输入特征集,得到僵尸网络在线检测模型;最后,将僵尸网络在线检测模型部署在网络入口处在线检测多种僵尸网络。实验表明,所提基于集成学习的僵尸网络在线检测方法能够有效地检测出多个阶段的僵尸网络流量,恶意流量检测率可达96.47%。

摘要： 由于词典类DGA域名的字符分布随机性低、单词组合随机性高,基于传统机器学习的恶意域名检测方法难以识别,虽然利用LSTM等深度学习的检测方法能捕捉域名字符序列特征,但缺乏局部词根组合特征,检测准确率低。针对以上问题,提出一种基于融合嵌入层的DGA域名检测方法。在域名词嵌入阶段,基于分词技术进行字符和词根的融合嵌入向量表示,结合一维卷积神经网络(CNN)和双向门控循环单元(BiGRU)构建混合的深度学习模型,实现DGA域名检测。实验表明,该方法与单一采用CNN或LSTM模型相比,在域名二分类任务中的准确率分别提高3.1%和4.3%,针对词典类DGA家族matsnu、suppobox、ngioweb的检测具有更高的精确率。

摘要： 奇安信发布威胁情报检测引擎大幅降低情报消费门槛奇安信威胁情报中心面向终端、网关、大数据平台等环境推出威胁情报SDK检测引擎(QTDE),提升相关产品基于威胁情报的检测和发现能力。QTDE实现了便捷生产、共享与消费威胁情报的闭环,能够通过为不同形态的产品提供情报检索、基于分析师的研判和关联分析能力,定时分发热点IOC数据,使各集成产品整合、应用接口传递结果,检测威胁类型包括APT攻击、远控木马、蠕虫木马、僵尸网络、勒索软件、挖矿、黑客利用EXP等。

摘要： 大量僵尸网络开始采用字典型域名生成算法(domain generation algorithm,DGA)进行命令与控制(C&C),使得计算机网络面临愈加严重的威胁.针对字典型域名生成算法所生成的恶意域名具有与正常域名相似的字符特征及传统的基于域名字符统计特征与2-gram模型的检测方法逐渐失效的问题,提出一种基于构成域名字符串的单词词间关系来识别字典型恶意域名的方法.实验结果表明,对于字典型恶意域名家族,该方法的F1值比基于域名字符统计特征的方法提升了3.45%,比2-gram模型提升了2.84%.

摘要： 网络攻击尤其是APT攻击普遍使用被攻陷设备作为跳板,利用下级被控设备执行攻击行为,攻击者身份则隐藏于网络之中.以Mirai为首的僵尸网络通常采用C&C服务器控制受感染的机器人,机器人之间常常存在多级控制关系,因此单个节点的异常检测往往难以解决问题.提出一种僵尸网络多级控制关系可视化分析系统,主要通过流特征筛选控制节点,梳理控制行为,通过图数据库将关系数据导出实现可视化,从而直观发现节点间的多级控制关系,找出跳板节点,从而溯源僵尸网络,找出隐藏的主机节点.

摘要： Akamai监测发现,针对中国零售和电子商务行业的恶意僵尸网络活动在春节前后激增,爬虫攻击给电子商务的全球化拓展带来极大的挑战。数字时代,网购已成为人们日常购物消费的主要渠道,受新冠肺炎疫情影响,为减少不必要的接触,网购的用户活跃度也得到较大地增长。电商正成为爬虫攻击的主战场Akamai监测发现,从去年“双十一”到今年春节,再到今年北京冬奥会,这期间电子商务流量呈现爆发式增长,针对电子商务的爬虫攻击与以往相比也呈现多样化、复杂化和高频化的特征。

摘要： 僵尸网络具有感染速度快、危害性强的特点,已对政府机构、企业单位和普通网民构成了严重威胁.传统的网络流量检测手段大都采用聚类算法,无法有效利用威胁情报和先验知识.文章提出了一种基于深度学习的两阶段字符级LSTM方法,从网络流量行为中检测僵尸网络的C&C通信并识别出其所属的僵尸网络家族,在25个僵尸网络家族的检测中达到了0.903的F值.

摘要： 随着物联网(IOT)的逐渐普及,物联网的众多设备成为网络攻击的一个强大的放大平台,它们显然已成为现代计算机网络安全链中最薄弱的一环.由于物联网在许多重要领域的应用日益增多,物联网的安全问题急需妥善解决.其中,分布式拒绝服务(DDoS)是最臭名昭著的攻击行为,它通过僵尸网络使网络拥塞并禁用网络组件的正常功能从而破坏服务,这对物联网更具破坏性.

摘要： 随着各种各样的网络攻击行为越来越多,网络安全事件检测面临着越来越大的挑战.而僵尸网络的检测更是检测中的重点之一.本文基于Net-Flow数据对P2P僵尸网络(Peer-to-Peer Botnet)的检测展开研究.P2P僵尸网络由于没有固定的C&C服务器,而且部分流量经过了加密处理,尤其难以检测.本文设计了基于NetFlow的P2P僵尸网络检测方法,该方法以NetFlow数据作为输入,在对不具备P2P网络行为特征的节点进行粗粒度的筛选之后,从NetFlow中提取P2P网络节点行为特征和P2P僵尸主机行为特征,使用有监督的分类算法对于P2P僵尸网络节点进行检测.本文提取了ISOT、CTU-13中的P2P僵尸网络流量,并且加入了构造的正常流量和良性P2P网络流量,组成数据集.本文分别使用SMO、C4.5决策树和随机森林方法在该数据集上使用十折交叉验证对实验结果进行验证,结果显示使用随机森林算法效果最好,在可忽略的误报率的条件下达到了82.2％的检测率.

摘要： 僵尸网络是指通过各种手段在多台设备中植入恶意程序,使僵尸控制者能相对方便和集中的控制这些设备,向这些受控制的设备发布各种指令进行相应恶意活动的攻击网络.本文阐述了僵尸网络在电力二次系统中部署和传播的可能性,分析了僵尸网络在活动时产生的报文特征和流量的行为特性,并针对电力二次系统僵尸网络的特点,提出了两种可部署于网络分析仪的检测电力系统僵尸网络的方法,分别是基于深度包检测技术的异常协议识别方法、基于循环自相关和聚类的流量行为分析方法,并进行了实验.

摘要： 僵尸网络是由众多的被恶意软件感染了的僵尸主机(或肉机)组成的,僵尸网络控制者通过命令和控制通道向僵尸主机下达命令在网络中执行种类繁多的恶意行为.僵尸网络已成为当前网络中最严重的安全问题,它造成的破坏性远大于蠕虫、木马和病毒.在分析当前主流僵尸网络检测方法的优势与不足的基础上,总结出基于特征的检测方法最为准确和高效,如果能够完善该方法的特征库,在特征库中加入未知类型僵尸网络的特征,则该方法的检测效果将大大提高并将得到广泛的应用.给出了4种sinkhole的检测方法,并设计了综合评估的方法对上述四种方法的检测结果统一进行分析评估,提高了对sinkhole检测的准确性.

摘要： 僵尸网络是一种复杂、灵活、高效的网络攻击平台,在互联网中分布非常广泛.本文针对目前僵尸技术,给全网、国家和个人都来了严重威胁,本文突破了传统单一的僵尸网络监测机制,采用基于内容与行为特征相结合的僵尸网络检测方法建立检测模型,同时结合URL黑名单,实现僵尸网络检测.

摘要： 以僵尸网络为载体的DDoS攻击是当今互联网所面临的严重威胁之一.这里提出一种将DDoS攻击检测与DPI技术相结合来检测僵尸网络的方法.通过分析僵尸网络的活动特征,利用DDoS攻击检测在骨干网环境中定位可疑僵尸主机,再结合报文深度分析方法,过滤出C&C通讯流量,并定位C&C Server.基于该思路设计实现的一个原型系统DTS,在CERNET南京主节点部署后,成功地检测到多个DDoS活动的僵尸网络.

摘要： 僵尸网络是一种从传统恶意代码进化而来的新型攻击方式，己成为Internet安全的一个重大威胁。僵尸网络传播模型是研究僵尸程序传播特性最常用的一种方法，由于当前僵尸网络的主流传播模型并没有考虑到僵尸程序传播过程中的网络流量阻塞因素，而网络流量阻塞是 Internet一种常态现象，因而目前的这些主流传播模型对僵尸程序在Internet上的传播特性反应得不够准确。本文分析了一种新的僵尸网络传播模型，该模型基于Internet的实际情况，重点考虑了僵尸程序在传播过程中的网络流量阻塞因素。仿真结果表明，不仅能具有主流传播模型的所有特点，而且能够反映网络会出现拥塞时僵尸程序的感染特性，并对其在互联网上的可行性进行了分析。

摘要： 基于僵尸网络的拓扑结构,本文提出了一种更加全面、合理的分类方法,并在此基础上指出僵尸网络的未来发展趋势。本研究有助于该领域的研究人员深化对僵尸网络的认识,并为反制模式的研究提供借鉴。

摘要： 物联网之所以能有实现万物互联,根本上是依靠互联网的互联互通.但因其自身安全隐患的存在,物联网设备极易成为互联网上的僵尸肉鸡.本文试图从物联网设备参与的DDoS攻击案例入手,探究物联网与DDoS的关系,分析物联网设备安全隐患的原因并尝试提出解决建议,从源头入手减少物联网设备在DDoS攻击中的作用.

摘要： 本发明公开了一种僵尸网络发现方法、僵尸网络发现装置及计算机可读存储介质，涉及信息安全技术领域。其中的僵尸网络发现方法包括：从域名系统DNS响应消息中提取域名名称和域名互联网协议IP地址；生成各个DNS响应消息中，域名名称和IP地址之间的映射关系；在映射关系的基础上将相同的域名名称合并，生成由域名名称和IP地址所形成的多个多叉树；在多个多叉树的基础上将相同的IP地址合并，并从中筛选出树形图簇，以得到由多个域名名称和多个IP地址所表示的僵尸网络。本发明能够简单高效的发现端到端型僵尸网络。

摘要： 本发明涉及一种僵尸网络的检测方法及装置、僵尸网络的对抗方法及装置。僵尸网络的检测方法应用于基于社交网络的融合僵尸网络，包括：提取僵尸网络的通信特征；根据所述通信特征查找到所述僵尸网络的所有成员。本发明僵尸网络的检测方法及装置，能够有效检测出具有良好隐蔽性的融合僵尸网络，从而为捣毁融合僵尸网络奠定了基础，有助于提高网络安全性能。本发明僵尸网络的方法及对抗装置，能够捣毁具有良好隐蔽性的融合僵尸网络，提高了网络安全性能。

摘要： 本发明公开了一种基于僵尸程序传播行为的僵尸网络预防方法，包括：建立用户社交网络访问模型和可疑链接点击模型；建立僵尸网络传播防御博弈模型；建立目标网络用户社交网络结构模型。在此基础上，将用户社交网络访问模型和可疑链接点击模型耦合到博弈模型中，给出耦合模型的仿真系统，并基于建立的目标网络用户社交网络结构运行仿真系统，进而为目标网络提供防御措施。本发明针对基于社交网络的僵尸网络预防问题，通过建立耦合目标网络用户行为的僵尸网络传播防御博弈模型，评价目标网络中容易被僵尸程序入侵或攻击的途径和需要重点监控的用户，为目标网络预防僵尸程序的传播和攻击提供防御措施，从而提高网络安全性能。

摘要： 本发明提出了一种基于胶囊网络和k‑means的DGA僵尸网络域名检测方法，包括以下步骤：S1，获取网络域名，将获取的网络域名作为待处理网络域名；S2，对步骤S1中获取的待处理网络域名进行预处理；预处理后得到处理网络域名；S3，对步骤S2中的处理网络域名进行网络域名特征图拼接；S4，将其输出的标量特征转换为向量特征；S5，对特征进行整合选择，得到最优的特征；S6，判断其输出的结果是否为DGA域名或/和DGA域名家族类别。本发明能够对获取的域名进行DGA检测分类。

摘要： 本发明公开了一种僵尸网络发现方法、僵尸网络发现装置及计算机可读存储介质，涉及信息安全技术领域。其中的僵尸网络发现方法包括：从域名系统DNS响应消息中提取域名名称和域名互联网协议IP地址；生成各个DNS响应消息中，域名名称和IP地址之间的映射关系；在映射关系的基础上将相同的域名名称合并，生成由域名名称和IP地址所形成的多个多叉树；在多个多叉树的基础上将相同的IP地址合并，并从中筛选出树形图簇，以得到由多个域名名称和多个IP地址所表示的僵尸网络。本发明能够简单高效的发现端到端型僵尸网络。

摘要： 本发明涉及一种僵尸网络的检测方法及装置、僵尸网络的对抗方法及装置。僵尸网络的检测方法应用于基于社交网络的融合僵尸网络，包括：提取僵尸网络的通信特征；根据所述通信特征查找到所述僵尸网络的所有成员。本发明僵尸网络的检测方法及装置，能够有效检测出具有良好隐蔽性的融合僵尸网络，从而为捣毁融合僵尸网络奠定了基础，有助于提高网络安全性能。本发明僵尸网络的方法及对抗装置，能够捣毁具有良好隐蔽性的融合僵尸网络，提高了网络安全性能。

摘要： 本发明提供一种生成移动僵尸网络的特征码方法，包括：捕获可疑主机群的网络流量；对所述网络流量数据包作基于内容的分割，获取相同字符串；对所述相同字符串进行统计分析，计算其流行度，提取流行度超出一定阈值的字符串；和过滤所述流行度超出一定阈值的字符串，将常用的字符串排除，剩下的字符串作为特征码。还提供一种利用上述方法生成的特征码来检测移动僵尸网的方法，包括：捕获待检测主机群的网络流量；所述网络流量为数据包，所述数据包具有包头和有效负载，所述包头和有效负载为一系列字符串；利用特征码进行字符串匹配；对匹配成功的流量，确定为手机僵尸程序，记录信息；和对匹配不成功的流量，放行此流量。

摘要： 本发明公开了一种基于僵尸程序传播行为的僵尸网络预防方法，包括：建立用户社交网络访问模型和可疑链接点击模型；建立僵尸网络传播防御博弈模型；建立目标网络用户社交网络结构模型。在此基础上，将用户社交网络访问模型和可疑链接点击模型耦合到博弈模型中，给出耦合模型的仿真系统，并基于建立的目标网络用户社交网络结构运行仿真系统，进而为目标网络提供防御措施。本发明针对基于社交网络的僵尸网络预防问题，通过建立耦合目标网络用户行为的僵尸网络传播防御博弈模型，评价目标网络中容易被僵尸程序入侵或攻击的途径和需要重点监控的用户，为目标网络预防僵尸程序的传播和攻击提供防御措施，从而提高网络安全性能。

摘要： 本发明公开了一种基于复杂网络和图神经网络的僵尸网络检测方法，解决了目前的方法通常需要具备较好的恶意脚本、恶意软件静态分析和动态分析能力，同时目前对于未知僵尸网络及相关僵尸网络变种检测能力不足的技术问题，本发明将流量解析数据转为图数据，通过复杂网络技术提取节点相关特征值，再以图神经网络构建模型学习数据中的属性信息和结构信息。该方法摆脱了以往基于机器学习的僵尸网络检测方法无法发现结构信息的弊端，以及单纯基于图神经网络而未对流量解析数据进行深入的特征工程而丢失结构信息的缺陷。本发明的方法可作为僵尸网络综合检测系统的重要组成部分，以提高未知僵尸网络及其变种的检测精确率。

摘要： 本发明公开了一种基于神经网络的僵尸网络态势预测方法和预测系统：S1、获得基础僵尸感染流量数据，划分为训练集、验证集和测试集；S2、构建僵尸网络感染预测框架；S3、使用训练集对僵尸网络感染预测框架进行训练，得到预训练的僵尸网络感染预测框架；S4、使用验证集进行迭代验证，得到僵尸网络感染预测框架；S5、使用测试集进行测试，若不符合则返回执行步骤S3，输出符合要求的僵尸网络感染预测框架；S6、使用符合预测要求的僵尸网络感染预测框对僵尸网络规模作出预测。本发明解决了现有僵尸网络感染过程中传播和演进特征的全面建模和僵尸网络规模预测框架构建问题，在僵尸网络未来态势规模的预测方面有较高的准确率。