安徽理工大学：信息安全专业教学资源（讲稿）Bot、Botnet及其检测技术

安藏理工大學 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY 1网络安全形势 2Bot/Botnet结构、工作机理及功能 Outline 3Bot/Botnet的检测方法研究现状 4课题组当前的研究工作

1 网络安全形势 2 Bot/Botnet结构、工作机理及功能 3 Bot/Botnet的检测方法研究现状 Outline Outline 4 课题组当前的研究工作

安藏理工大些 ANHUI UNTVERSITY OF SCIENCE TECHNOLOGY 1.网络安全形势

1. 网络安全形势

安藏理工大學 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY 宽带战略 微博客 互联网快速 移动互联网 变革融合 移动支付 云计算 电子商务

安藏理工大学 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY ▣Virus CN©ERT/CC ▣Tro.jan horse ▣Worm 网页仿冒 35.5% ▣Rootkit ▣Spyware ▣Bot 漏洞 36.3% 恶意程序 23.4% 网页篡改 其他。 拒绝服务攻击儿网页挂马 2.7% 0.9% 0.3% 0.9% CNCERT接收到的网络安全事件类型主要包括信息系统漏洞、网页仿 冒、恶意程序、网页篡改、网页挂马 Source:CNCERT/CC,http://www.cert.org.cn

CNCERT接收到的网络安全事件类型主要包括信息系统漏洞、网页仿 冒、恶意程序、网页篡改、网页挂马 Virus Trojan horse Worm Rootkit Spyware Bot Source: CNCERT/CC, http://www.cert.org.cn

安藏理工大學 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY 2011年僵尸网络的规模分布 CNCERT/CC 9000 8000 7000 6000 5000 4000 3000 2000 1000 0 ☑ 100- 1000- 5000- 1000 5000 20000 2-5万 5-10万 >10万 口僵尸网络的数目 8353 1468 383 95 24 36 Source:CNCERT/CC,http://www.cert.org.cn

Source: CNCERT/CC, http://www.cert.org.cn

安藏理工大學 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY 2011年木马或僵尸程序控制服务器P数量月度统计 CNCERT/CC 45000 40000 39167 35000 30000 30097 284632952 3150731690631028 25013 25043 25000 2289622783 21637 20000 15000 10000 5000 0 1月2月3月4月5月6月7月8月9月10月11月12月 Source:CNCERT/CC,http://www.cert.org.cn

Source: CNCERT/CC, http://www.cert.org.cn

安藏理工大学 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY 2012年境外木马或僵尸程序控制服务器IP按国家和地区分布 美国17.6% 日本9.6% ■ 中国台湾7.6% ■ 韩国7.6% 摩洛哥6.3% ■ 印度6.1% 中国香港4.7% 俄罗斯3.1% 印尼2.6% 泰国1.9% 其他32.7% Source:CNCERT/CC,http://www.cert.org.cn

Source: CNCERT/CC, http://www.cert.org.cn

安藏理工大學 ANHUI UNIVERSITY OF SCIENCE TECHNOLOGY 2005年-2012年移动互联网恶意程序数量走势 移动互联网恶意 程序急剧增长， Android平台称为 180000 安全重灾区。 160000 2012年CNCERT 140000 发现一个名为 120000 A.remote.wangdo 100000 u.a手机恶意程序 80000 162981 感染了约117万手 60000 机用户。2013年 40000 报道一个叫做 20000 Android.Troj.mdk 09 110 28 416 1664 6249 的后门程序（简称 2005年2006年2007年2008年2009年2010年2011年2012年 为MDK) Source:CNCERT/CC,http://www.cert.org.cn

移动互联网恶意 程序急剧增长， Android平台称为 安全重灾区。 2012 年CNCERT 发现一个名为 A.remote.wangdo u.a手机恶意程序 感染了约117万手 机用户。2013 年 报道一个叫做 Android.Troj.mdk 的后门程序 (简称 为MDK) Source: CNCERT/CC, http://www.cert.org.cn

安藏理工大学 ANHUI UNTVERSITY OF SCIENCE TECHNOLOGY 2.Bot/Botnet概念、结构、危害及机 理

2. Bot/Botnet概念、结构、危害及机 理

安藏理工大些 ANHUI UNTVERSITY OF SCIENCE TECHNOLOGY 2.1僵尸网络与僵尸程序 ▣僵尸网络(BotNet),是指采用一种或多种传播 手段，将大量主机感染bot程序，从而在控制者 和被感染主机之间所形成的一个可一对多控制 的网络。 ▣僵尸程序(Bo):Robot的缩写，可以自动地执 行预定义的功能、可以被预定义的命令控制， Bot不一定是恶意的，但在僵尸网络中的Bot都 是设计用来完成恶意功能

2.1 僵尸网络与僵尸程序 僵尸网络(BotNet)，是指采用一种或多种传播 手段，将大量主机感染bot程序，从而在控制者 和被感染主机之间所形成的一个可一对多控制 的网络 。 僵尸程序(Bot)：Robot的缩写，可以自动地执 行预定义的功能、可以被预定义的命令控制， Bot不一定是恶意的，但在僵尸网络中的Bot都 是设计用来完成恶意功能