僵尸網絡是指通過各種手段在多臺計算機中植入
惡意程序，使僵尸控制者能相對方便和集中地控制這
些計算機，向這些受控制的計算機發布各種指令進行
相應惡意活動的攻擊網絡。本書首先通過大量實驗介
紹在僵尸和人的活動行為方面的差異，其次介紹一種
基於主動技術的惡意代碼捕獲方法以及獲得僵尸樣本
的通信數據和行為特征的方法，最後介紹6種不同類
型的僵尸網絡檢測方法。程光、吳樺、王會羽、張軍
、陳玉祥編著的《僵尸網絡檢測技術》包括10章內容
，第1章綜述了近年來國內外主要的僵尸網絡檢測方
法的研究進展；第2章介紹僵尸的會話行為分析；第3
章介紹主動僵尸代碼捕獲方法；第4章介紹僵尸提取
和分析；第5章介紹僵尸源碼實例分析；第6章介紹基
於DNS的僵尸網絡檢測方法；第7章介紹基於C＆C信道
的僵尸網絡檢測方法；第8章介紹基於流量行為的僵
尸網絡檢測方法；第9章介紹基於事件關聯的僵尸檢
測方法；第10章介紹基於內容解析的僵尸網絡檢測方
法。
本書可供計算機科學、信息科學、網絡工程及流
量工程等學科的科研工作人員、大學教師和相關專業
的研究生與本科生，以及從事計算機網絡安全領域、
網絡工程及網絡管理的工程技術人員閱讀參考使用。

1 概論
1.1 僵尸網絡檢測的意義
1.2 惡意軟件特性
1.2.1 計算機病毒
1.2.2 計算機蠕蟲
1.2.3 特洛伊木馬
1.2.4 間諜軟件
1.2.5 rootkit
1.2.6 僵尸網絡
1.3 僵尸網絡架構
1.3.1 集中式C&C架構
1.3.2 分布式C＆C架構
1.3.3 僵尸網絡中DNS的作用
1.3.4 命令控制
1.4 僵尸網絡的動機
1.4.1 身份竊取
1.4.2 垃圾郵件攻擊
1.4.3 點擊欺詐
1.4.4 DDoS攻擊
1.4.5 信息洩露
1.4.6 政治利益
l.5 威脅特征度量
1.5.1 僵尸網絡規模
1.5.2 垃圾郵件
1.5.3 收集到的數據
1.5.4 直接金融損失
1.5.5 惡意軟件恢復能力
l.5.6 惡意軟件攻擊傳播
1.6 僵尸網絡被動測量技術
1.6.1 包檢查
1.6.2 流記錄分析
1.6.3 基於DNS的檢測方法
1.6.4 垃圾郵件記錄分析
1.6.5 應用日志文件分析
1.6.6 蜜罐
1.6.7 反病毒軟件結果評估
1.7 僵尸網絡主動測量技術
1.7.1 sinkholing
1.7.2 滲透
1.7.3 DNS緩存窺探
1.7.4 fast-flux網絡的追蹤
1.7.5 基於IRC的測量和檢測
1.7.6 P2P網絡枚舉
1.7.7 惡意軟件逆向工程
1.8 僵尸網絡威脅應對對策
1.8.1 黑名單
1.8.2 假冒可追蹤憑證的分發
1.8.3 BGP blackholing
1.8.4 基於DNS的對策
1.8.5 直接摧毀C&C服務器
1.8.6 網絡和應用層上的包過濾
1.8.7 阻塞25號端口
1.8.8 P2P應對措施
1.8.9 滲透和遠程殺毒
1.8.10 公共預防措施
1.9 小結
2 僵尸的會話行為分析
2.1 引言
2.2 背景技術
2.2.1 聊天繫統
2.2.2 聊天bot
2.2.3 相關工作
2.3 測量分類
2.3.1 測量數據
2.3.2 日志的分類
2.4 分析
2.4.1 人類行為
2.4.2 周期型bot
2.4.3 隨機型bot
2.4.4 響應型bot
2.4.5 重播型bot
2.5 分類繫統
2.5.1 熵值分類器
……
3 主動僵尸代碼捕獲方法
4 僵尸提取和分析
5 僵尸源碼實例分析
6 基於DNS的僵尸網絡檢測方法
7 基於C＆C信道的僵尸網絡檢測方法
8 基於流量行為的僵尸網絡檢測
9 基於事件關聯的僵尸網絡檢測
10 基於內容解析的僵尸網絡檢測
參考文獻