43、利用时间持久性检测隐蔽僵尸网络通道

利用时间持久性检测隐蔽僵尸网络通道

1. 方法概述

僵尸网络在组织和运作方式上差异很大，但所有僵尸网络都有一个共同行为：每个僵尸主机需要定期与命令与控制（C&C）服务器通信以验证其存活状态。为了不被发现，大多数僵尸网络会使这种通信非常轻量级或隐蔽。不过，由于僵尸主机会反复访问其 C&C 服务器，否则僵尸网络控制者可能会认为该僵尸主机处于非活动状态，因此我们试图揭示这种低频事件。

1.1 引入概念

• 目的原子（Destination Atoms） ：将单个目的端点聚合为逻辑目的地或服务，以保持白名单紧凑且更有意义。例如，google.com 对应的具体地址会随位置和时间变化，但最终用户只关心谷歌“服务”。
• 持久性（Persistence） ：用于量化从终端主机到目的原子的轻量级但定期的通信。

1.2 检测方法

设计一种基于跟踪目的原子持久性的 C&C 检测方法。为区分表现出持久性的新目的原子是恶意还是良性，需要为用户或其合法应用程序通常访问的持久目的地开发白名单。

终端主机在某一天可能会与大量目的端点通信，但大多数这些目的地是临时的。从长期跟踪主机流量时，定期访问的目的地集合是一个更小且稳定的集合，这个集合可以定义终端主机的行为特征，并可以记录在一个不需要频繁更新的白名单中。如果出现一个新的、持久且恶意的目的地，就会很容易被检测到，这正是终端主机被攻陷并加入僵尸网络后开始与 C&C 服务器通信时会发生的情况。

2. 目的原子聚合