僵尸网络(BOTNET)监控技术研究

僵尸网络（BOTNET）是互联网网络的重大安全威胁之一，本文对僵尸网络的蔓延、通信和攻击模式进行了介绍，对僵尸网络发现、监测和控制方法进行了研究。针对目前最主要的基于IRC 协议僵尸网络，设计并实现一个自动识别系统，可以有效的帮助网络安全事件处理人员对僵尸网络进行分析和处置。
关键词：僵尸网络, IRC, 网络安全
僵尸网络是近年来兴起的危害互联网网络安全重大安全威胁之一。据CNCERT/CC 统
计，中国内地被控僵尸网络数量全球排名第一，2005 年发现的规模超过5000 台的僵尸网络达143 个，2006 年上半年发现的规模超过5000 台的僵尸网络数量达188 个。这些僵尸网络的控制服务器很多位于国外，对我公共互联网的安全造成了严重的威胁[1]。
僵尸网络(Botnet)能够在攻击者指令下统一行动，利用宿主机资源执行各种网络攻击活
动，最典型的如分布式拒绝服务(DDoS)攻击、传播蠕虫、发送垃圾邮件，以及窃取宿主机敏感信息等。对僵尸网络的机理和监控手段研究成为网络安全领域的重要课题之一。国内外很多研究机构开始对僵尸网络的发现、跟踪和控制方法进行研究。CNCERT/CC在2004年12月开始进行僵尸网络监测与控制方面的研究，清华大学CCERT恶意代码研究项目组于2005年3月开始深入分析和跟踪僵尸网络，并开展了对CERNET网络中存在的僵尸网络的研究工作，通过对发现的僵尸网络的跟踪和深入分析，提出了一个能够有效识别IRC僵尸网络控制端的方法，并在CERNET中进行了测试，分析了当前CERNET中僵尸网络的存在情况，为进一步的跟踪和捕获提供有效的依据。
本文首先对僵尸网络的机理进行的深入分析，然后对僵尸网络监控技术做了全面的介
绍。在此基础上，提出了一套僵尸网络控制端识别系统方案，并给出了实际监控的效果。本研究得到科技部国家高技术研究发展计划（863）“国家公共互联网安全监测、预警与危机控制关键技术研究”课题支持（编号：2006AA01Z451）。