36、自动生成僵尸网络检测模型

自动生成僵尸网络检测模型

1. 自动生成的检测模型示例

自动生成的僵尸网络检测模型，以IRC僵尸网络家族为例，有如下自动生成的Bro签名：

signature irc1-000-2 {
dst-ip == local_nets
payload /.* PRIVMSG #.* :\.asc .*5 0 .*/
}
#DIFFERENT IPS > 20

此签名的令牌序列包含三个需在入站IP数据包中识别的令牌：
- 第一个令牌（PRIVMSG #）：包含用于传输消息的IRC协议头的一部分，将签名限制为仅匹配IRC流量。
- 第二个令牌（:.asc）：包含指示接收僵尸程序开始扫描的命令。
- 第三个令牌（5 0）：包含扫描命令的参数，虽看似使签名过于严格，但同一命令常使用相同参数集，并非显著限制。

相比之下，人工创建的Snort签名匹配“PRIVMSG . :. asc”。在第二检测阶段（在流量中识别出令牌序列后），需匹配的网络行为要求主机在50秒内联系超过20个不同的IP，这反映了僵尸程序收到.asc命令时发起的扫描。只有满足此第二条件，主机才会被报告为受僵尸程序感染。

2. 检测能力评估

为定量衡量检测模型识别与僵尸程序相关流量的能力，将446个网络跟踪集分为训练集和测试集。每个训练集包含一个僵尸网络家族跟踪的25%，对应测试集包含其余部分。用训练集生成新的检测模型集，加载到Bro中分析测试集中的流量跟踪，每个家族进行四次此过程（四重交叉验证）。

系统报告88%的分析跟踪存在僵尸程序感染，其余12%的跟踪甚至未