移动计算环境下新型僵尸网络分析与检测方法研究

Botnets has become one of most concerned threats in the field of network security. As the popularity of mobile computing environment, botnets use the features of mobile computing to develop new trends. On the one hand, the botnet will use mobile computing terminals as a new target, such as smartphone bot; on the other hand, the botnet started to use mobile computing network as the new support environment, they develop new command and control mechanisms. This project examines the development trend of the botnet in the mobile computing environment and the key technology for detection of new botnets. This project contains three points: First, using city wireless LAN to build the new botnet command and control protocol for the prediction of new botnet networks, which provides a theoretical basis; Second, we research fast and accurate method for detecting botnet encrypted command and control protocol, which does not depend on the deep packet inspection; Third, we study the temporal and spatial correlation analysis-based botnet detection method, which can refine uncertain feature extraction information. This project provides key research for the forecast and detection of botnets in mobile computing environment. Related method is also applicable to traditional botnet detection, which has both theoretical significance and higher practical value.

僵尸网络(Botnet)已经成为网络安全领域中最为关注的危害之一, 随着移动计算环境的普及，僵尸网络也利用移动计算的特点出现新的发展趋势。一方面，僵尸网络将移动计算终端作为新的目标，如出现了手机僵尸程序；另一方面，僵尸网络开始利用移动计算网络作为新的支撑环境，发展新的命令与控制机制。本项目研究在移动计算环境下僵尸网络的发展趋势，研究检测新型僵尸网络的关键技术，包含三个研究重点：一是研究利用城市无线热点构建僵尸网络的新型僵尸命令与控制协议，为预测新型僵尸网络提供理论基础；二是研究快速准确的僵尸网络加密命令与控制协议特征提取技术，可以不依赖对数据内容的深度检测进行协议特征提取；三是研究基于时空相关性分析的僵尸网络检测方法，对不确定的特征信息进行提炼。本项目针对移动计算环境下新型僵尸网络预测与检测中存在的一些难点进行研究，相关方法也适用于传统僵尸网络的检测，既有理论研究意义，也有较高的应用价值。

随着便捷的移动互联网接入服务和功能强大的移动设备，移动僵尸网络已经成为移动互联网环境下的严重安全问题。移动僵尸网络可以从大量被感染的移动设备中获取用户的个人隐私信息，造成巨大的经济损失。但是，现在理论上已经被提出的基于消息推送型的移动僵尸网络，仅使用单一的消息推送服务器，以作为命令与控制信道来分发命令，这将导致在推送服务器上存在单点故障问题。本项目研究一种使用多个消息推送服务器的移动僵尸网络，相比现有的消息推送型僵尸网络，该僵尸网络具有更好的鲁棒性、扩展性、隐蔽性和可控性。本项目对这种僵尸网络的关键技术进行了深入的分析和研究，主要在以下三方面展开了工作：首先，在僵尸网络架构方面，使用多个推送服务器以及混合结构，解决推送服务器及命令与控制服务器上的单点故障问题。建立三重子信道模型，使用不同类型的僵尸主机来扩展僵尸网络结构。其次，在命令与控制机制方面，为了对推送服务器实现调度，测量推送路径时延作为服务器性能的度量值。使用基于DBSCAN的聚类算法对僵尸分组，减少调度时的开销。结合加权轮询算法选取推送服务器并分发命令。最后，为了提高云控移动僵尸网络的自适应性，研究了一种基于3G/WiFi下具有流量自适应性的移动僵尸网络的命令与控制机制。通过分析用户正常网络行为下的流量消耗情况，赋予僵尸命令一个流量可用系数，使其能根据用户在各个时间段的流量消耗大小，按命令的紧急程度来执行就绪队列中的僵尸命令。本项目通过实验模拟和构建原型系统，分析了文中提出的关键内容。部署了市场上现有的十个推送服务器，实验结果表明移动僵尸网络不仅具有可行性而且具有良好的性能，为检测研究提供了良好的基础。