21、网络流量与恶意软件研究：从数据到洞察

网络流量与恶意软件研究：从数据到洞察

1. 网络流量研究设计

本次研究聚焦于僵尸网络。有相关数据可用于研究，且存在可测量的特征。2007年，有研究列出了僵尸网络的三个特征：所有僵尸网络连接的集中式服务器、即时响应和同步响应。我们将设计一项测量研究，以验证该论文中提及的僵尸网络特征之一在如今是否仍然成立。

1.1 数据来源

我们有两个可能的数据集，每个数据集都包含僵尸网络和非僵尸网络流量。
- CTU - 13数据集 ：由捷克技术大学的研究人员在2011年收集的僵尸网络流量。他们执行了13种不同的恶意软件，并捕获了由此产生的流量。该数据集仅发布了僵尸网络产生的流量，为我们提供了13个不同的僵尸网络进行研究。
- ISOT数据集 ：这是一个人工合成的数据集。它结合了公开可用的恶意和非恶意流量，其中包括法国蜜罐项目收集的Storm和Waledac等僵尸网络，以及LBNL数据集和爱立信匈牙利研究中心流量实验室的非恶意流量。

两个数据集都是网络捕获文件，以数据包捕获（PCAP）格式保存，也可以使用SiLK工具集从流量中生成网络流。

1.2 探索性数据分析

研究从基本的探索性数据分析开始，以了解数据的特征。随机选择CTU数据集中的一个样本，例如样本6，其中有1558个唯一的IP地址，其中10个是流量源。通过统计每个源的唯一目标数量，可以将其可视化成柱状图。

从图中可以看出，源IP地址147.32.84.165的目标数量最多。在目标IP地址方面，数据集中有1558个IP地址，除了147.32.84.165有9个连