僵尸网络技术检测与防范系统 ——大流量数据捕获和会话封堵解决方案

论文摘要

随着Internet在全球的普及、IP网络技术的高速发展,科技进步在造福人类的同时,也带来了新的威胁,僵尸网络(恶意的Botnet)是目前国际网络安全领域最为关注的威胁之一,利用僵尸网络攻击,可以导致整个基础信息网络或者重要应用系统瘫痪,也可以导致大量机密或个人隐私泄漏,还可以用于实施网络欺诈等网络违法犯罪活动,甚至对国家安全产生威胁。目前这个威胁在全球范围依然没有得到有效的控制,虽然世界各国采取法律和技术措施加以防范,但在技术上反而面临越来越大的挑战,陷入一种“道高一尺,魔高一丈”的困境。本课题对网络僵尸木马的传播方式和途径进行检测分析,并提供技术封堵的支持。开发的“僵尸网络技术检测与防范系统”可应用在互联网汇聚层甚至在城域网节点上,通过分光或镜像方式接入,捕获网络数据,并对数据进行有效分流和过滤,按照相应的规律对底层数据进行智能分析,发现有僵尸网络行为特征和僵尸网络的域名,根据所发现的异常情况,对僵尸网络采取技术封堵,以保护监测范围内的计算机不受僵尸网络的攻击。本课题“大流量数据捕获和会话封堵解决方案”主要研究以硬件编程方式对20G bps的互联网大流量数据的分流与过滤技术,使用8200G设备,无丢包捕获20G bps的大流量数据,根据IP五元组规则和TCP数据包截取等技术,丢弃大量无用数据,同时将过滤后有效数据进行分流到不同设备,使大流量数据缩减为服务器级承受的数据,提高了数据的有效使用率。同时,还原和分析DNS传输协议底层数据,对僵尸网络的可疑域名进行监测,并根据系统分析发现的可疑僵尸网络行为,对企图建立或已建立连接的僵尸网络采取重定向可疑域名、TCP会话劫持等技术措施,切断僵尸网络的连接,以达到对僵尸网络监测与防范的目的。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 项目背景
• 1.1.1 僵尸网络的定义
• 1.1.2 僵尸网络的特点
• 1.1.3 僵尸网络的危害
• 1.1.4 目前发现僵尸网络的研究现状
• 1.2 项目的需求分析
• 1.2.1 项目的意义
• 1.2.2 本课题研究内容
• 1.3 论文的结构
• 1.4 本章小结
• 第二章 系统总体设计
• 2.1 技术思路
• 2.2 主要功能模块
• 2.3 技术重点
• 2.3.1 大流量数据捕获与过滤分流
• 2.3.2 DNS 检测技术
• 2.3.3 会话劫持和域名重定向
• 2.4 本章小结
• 第三章 大流量数据捕获解决方案
• 3.1 识别网络会话的五元组结构的定义及说明
• 3.2 前端大流量数据采集与过滤分流
• 3.2.1 前端设备部署
• 3.2.2 数据捕获与分流流程
• 3.3 技术原理
• 3.3.1 流表
• 3.3.2 L4 特征识别与过滤
• 3.3.3 主要命令设置
• 3.4 前端8200G设备规则应用实例
• 3.5 后端设备数据采集处理解决方案
• 3.5.1 后端数据采集
• 3.5.2 队列缓存
• 3.5.3 哈希表与多线程的设计
• 3.5.4 记录超时删除
• 3.6 关键技术
• 3.6.1 应用于海量的网络流量的环境
• 3.6.2 独特的网络流量分析方法
• 3.7 本章小结
• 第四章 DNS检测方案
• 4.1 模块概述
• 4.2 原理分析
• 4.2.1 DNS域名
• 4.2.2 DNS工作原理
• 4.2.3 数据捕获机制
• 4.3 设计概述
• 4.3.1 整体设计思想
• 4.3.2 总体模块划分
• 4.3.3 系统功能设计
• 4.4 DNS数据还原模块的实现
• 4.5 应用操作模块的实现
• 4.5.1 读写数据库子模块
• 4.5.2 域名重定向子模块
• 4.6 本章小结
• 第五章 会话劫持与域名重定向解决方案
• 5.1 TCP会话劫持方案
• 5.1.1 模块概述
• 5.1.2 原理分析
• 5.1.3 校验和计算
• 5.1.4 整体设计思想
• 5.1.5 整体实现流程
• 5.2 域名重定向解决方案
• 5.2.1 模块概述
• 5.2.2 原理分析
• 5.2.3 整体设计思想
• 5.2.4 监听网络捕包解析实现
• 5.2.5 匹配数据库实现
• 5.2.6 伪造发包实现
• 5.3 本章小结
• 总结
• 一、论文的工作总结
• 二、下步工作期望
• 参考文献
• 致谢