16、僵尸网络检测：利用数据挖掘技术提升分析能力

僵尸网络检测：利用数据挖掘技术提升分析能力

1. 引言

近年来，计算机的用途不再局限于科学和商业领域。不同年龄、生活方式、教育背景和心理状态的人越来越多地生活在虚拟现实中。这种虚拟现实影响着人们的日常活动和习惯。过去，人们使用计算机主要是为了获取知识，而现在，他们不仅获取知识，还分享生活、赚钱、发表或传播观点以及进行社交活动。计算机成为人们虚拟社交生活的接口，而互联网则是这种虚拟社交的场所，它既带来了机遇、能力和便利，也存在着威胁。

随着互联网的普及，利用网络进行恶意活动的攻击者数量也在增加。检测可疑互联网活动能力的提升促使攻击者采用了更复杂的攻击方法。协同攻击是由多个相互关联、相互影响的计算机节点实施的攻击，使攻击者能够进行难以追踪的互联网活动。这种难以追踪的特性正是黑客和攻击者进行非法活动所需要的。一旦由恶意个人或控制者控制的不同位置的计算机节点发起攻击，由于互联网的复杂性，很难追溯到攻击的源头。如今，针对合法互联网活动的事件和威胁，如信息泄露、点击欺诈、拒绝服务（DoS）攻击、电子邮件垃圾邮件等，日益增多，已成为一个严重的问题。

协同网络攻击通常利用受感染的受害者计算机来实现。这些受攻击者控制的受害者计算机被称为僵尸或机器人（bots），这个词来源于“robot”。“bot”是指在互联网上运行自动化任务的软件应用程序的通用术语。僵尸网络（Botnet）是一种自我传播、自我组织和自主的框架，受命令和控制（C2或C&C）基础设施的管理。通常，为了破坏一系列系统，僵尸网络的主人（也称为牧者或攻击者）会远程控制僵尸程序在受害者计算机上安装蠕虫、特洛伊木马或后门程序。大多数僵尸计算机运行的是微软Windows操作系统。窃取主机资源以形成僵尸网络的过程被称为“scrumping