僵尸網絡（BOTNET）是互聯(lián)網網絡的重大安全威脅之一，本文對僵尸網絡的蔓延、通信和攻擊模式進行了介紹，對僵尸網絡發(fā)現(xiàn)、監(jiān)測和控制方法進行了研究。針對目前最主要的基于IRC 協(xié)議僵尸網絡，設計并實現(xiàn)一個自動識別系統(tǒng)，可以有效的幫助網絡安全事件處理人員對僵尸網絡進行分析和處置。
關鍵詞：僵尸網絡, IRC, 網絡安全
僵尸網絡是近年來興起的危害互聯(lián)網網絡安全重大安全威脅之一。據CNCERT/CC 統(tǒng)
計，中國內地被控僵尸網絡數量全球排名第一，2005 年發(fā)現(xiàn)的規(guī)模超過5000 臺的僵尸網絡達143 個，2006 年上半年發(fā)現(xiàn)的規(guī)模超過5000 臺的僵尸網絡數量達188 個。這些僵尸網絡的控制服務器很多位于國外，對我公共互聯(lián)網的安全造成了嚴重的威脅[1]。
僵尸網絡(Botnet)能夠在攻擊者指令下統(tǒng)一行動，利用宿主機資源執(zhí)行各種網絡攻擊活
動，最典型的如分布式拒絕服務(DDoS)攻擊、傳播蠕蟲、發(fā)送垃圾郵件，以及竊取宿主機敏感信息等。對僵尸網絡的機理和監(jiān)控手段研究成為網絡安全領域的重要課題之一。國內外很多研究機構開始對僵尸網絡的發(fā)現(xiàn)、跟蹤和控制方法進行研究。CNCERT/CC在2004年12月開始進行僵尸網絡監(jiān)測與控制方面的研究，清華大學CCERT惡意代碼研究項目組于2005年3月開始深入分析和跟蹤僵尸網絡，并開展了對CERNET網絡中存在的僵尸網絡的研究工作，通過對發(fā)現(xiàn)的僵尸網絡的跟蹤和深入分析，提出了一個能夠有效識別IRC僵尸網絡控制端的方法，并在CERNET中進行了測試，分析了當前CERNET中僵尸網絡的存在情況，為進一步的跟蹤和捕獲提供有效的依據。
本文首先對僵尸網絡的機理進行的深入分析，然后對僵尸網絡監(jiān)控技術做了全面的介
紹。在此基礎上，提出了一套僵尸網絡控制端識別系統(tǒng)方案，并給出了實際監(jiān)控的效果。本研究得到科技部國家高技術研究發(fā)展計劃（863）“國家公共互聯(lián)網安全監(jiān)測、預警與危機控制關鍵技術研究”課題支持（編號：2006AA01Z451）。