云计算平台下僵尸网络的检测技术详解

云计算环境下的僵尸网络（BotCloud）是把传统的僵尸网络移植到云计算平台下的新型僵尸网络。利用云的优势将僵尸网络的构建变得更容易、攻击变得更有效、检测变得更困难。分析了云计算平台和传统僵尸网络结构上的相似性，介绍了BotCloud对云环境的平台造成的威胁，分析了云计算环境下的僵尸网络的相关检测技术，为今后云计算环境下的僵尸网络的检测打下理论基础。

近几年来，云技术成为人们越来越接受的技术并成为信息技术产业快速增长的部分，它可使用户大量减少基础设施和操作的成本，提供公平的收费系统，可确保其所有的服务具有扩展性等众多益处。云技术不仅向合法用户提供这些优势服务，也同时为连接在Internet的第三方终端设备上部署攻击的恶意用户打开了一扇大门。合法用户抵制外部攻击一直是云技术安全问题的研究热点问题，但对将云平台转变成能发起攻击的平台的可能性很少关注。僵尸网络就是将云平台转换成攻击支持的最大受益者之一，把通过云平台发出攻击的僵尸网络称为僵尸云网络。

云计算平台具有弹性服务、资源池化、按需服务、服务可计费、泛在接入的特点。从图1和图2的云平台和僵尸网络的结构图中可以看出云计算平台与传统僵尸网络的很多特征相似：

（1）两者都是将分散的资源聚合在一起来完成某项任务，这中间整个任务的完成都十分依赖网络流量，云计算平台和僵尸网络的资源都是基于大网络流量和大数据的。

（2）两者的结构都是基于一对多的控制，僵尸网络的集中端为攻击者、被攻击者或僵尸网络控制端，云平台的集中端是云服务提供商。

（3）两者都使计算机资源得到了充分的利用。

随着谷歌云、亚马逊云、苹果云、百度云等公有云、私有云应用的逐渐成熟，网络已经全面进入云网络时代。同时网络威胁之一的僵尸网络也进入了这一新时代，并迅速发展。在云环境中，僵尸网络可以根据需求进行便捷设置，构建超大规模的僵尸网络也不需要很多的时间，部署成本更加低廉。现在某些非法用户已经展示了如何在云平台中构建一个僵尸云网络并尝试发起各种攻击。用户可以以每小时9美元或者每天67美元的价格来租用僵尸云网络。僵尸网络主要被用来发起网络安全中公认为最大威胁之一的分布式拒绝服务攻击（DDoS），其中一项实验研究即是如何在云环境中发起DDoS攻击［7］。除此之外，垃圾邮件、键盘记录、广告程序、间谍程序、点击欺诈、端口扫描等恶意行为在僵尸云网络中得到更大发挥，给用户带来更大的经济损失。

2009年僵尸网络就已经对亚马逊基于云计算的EC2（弹性计算云）服务发起了攻击，引起了内部服务故障，2012年微软也破获了两个zeus僵尸网络服务器。这些都只是僵尸网络被发现的冰山一角，还存在着大量的僵尸网络没有被发现，尤其是在云环境中。本文对僵尸云网络构建和结构进行了一定的分析，在此基础上更好地分析僵尸网络特征影响因素。对于传统僵尸网络检测研究已取得的一些成果，这也将对僵尸云网络的检测及验证提供技术支撑。

传统的僵尸网络检测机制有基于行为特征、基于蜜罐/蜜网技术、基于流量聚类分析等多种，这些检测技术在传统网络中对僵尸网络起到了较理想的检测作用。但由于云计算平台的特殊性，不能直接使用这些技术。只有快速、准确地检测出僵尸云网络，才能为僵尸云网络的反制及破坏提供支持。

僵尸云网络的被感染端发起攻击时会出现与传统僵尸网络不同的指标特征， 2014年HAMMI B从一个系统的视角对僵尸云网络发起攻击时可能会产生的特征进行分析［8］，同时也提出了一种基于僵尸云网络的行为检测方法。由于僵尸云网络所具有的云技术中的新特点，用传统僵尸网络的行为特征去检测僵尸云网络已经失去了作用，因此必须先分析出僵尸云网络行为的新特征，再利用特征相似性来检测僵尸云网络。