9、基于深度学习和网络流量分析的僵尸网络检测

基于深度学习和网络流量分析的僵尸网络检测

在当今数字化时代，僵尸网络攻击对网络安全构成了严重威胁。为了有效检测僵尸网络活动，本文将介绍一种结合深度学习和网络流量分析的方法，详细阐述其数据集、方法步骤以及实验结果。

1. 研究背景与相关工作

早期研究中，有使用四个特征通过朴素贝叶斯分类器实现了 99% 的准确率和 96.9% 的 F 度量性能，但这四个特征不足以准确表示僵尸网络通信模式，需要识别更多特征来提高模型准确性。还有研究利用 29 种不同网络协议及其有效负载数据检测网络中的僵尸网络活动，重点建立主机周期性通信模式与僵尸网络活动之间的联系，指出僵尸网络与 C&C 服务器通信时会产生周期性网络流量，可作为僵尸网络感染的有力指标。不过，该研究使用的数据集仅包含僵尸网络流量，缺乏正常和背景流量，其方法在真实网络流量数据集上的有效性有待验证。本文在此基础上，将周期性作为特征之一用于训练深度学习模型进行僵尸网络流量分类，并使用包含僵尸网络、正常和背景流量的网络流量数据集，以证明其在真实僵尸网络攻击中的有效性。

2. 数据集介绍

2.1 CTU - 13 数据集概述

CTU - 13 数据集是 2011 年由捷克 CTU 大学的研究人员收集的，目的是生成大量混合了正常和背景流量的僵尸网络流量捕获数据。该数据集包含 13 个捕获场景，使用了七种不同的真实僵尸网络样本。尽管数据集有些陈旧，但仍能代表现代僵尸网络攻击，例如 Virut 僵尸网络在被认为根除多年后最近又被识别出来。

2.2 僵尸网络样本类型及描述

僵尸网络类型