僵尸網絡（BOTNET）是互聯網網絡的重大安全威脅之一，本文對僵尸網絡的蔓延、通信和攻擊模式進行了介紹，對僵尸網絡發現、監測和控制方法進行了研究。針對目前最主要的基于IRC 協議僵尸網絡，設計并實現一個自動識別系統，可以有效的幫助網絡安全事件處理人員對僵尸網絡進行分析和處置。
關鍵詞：僵尸網絡, IRC, 網絡安全
僵尸網絡是近年來興起的危害互聯網網絡安全重大安全威脅之一。據CNCERT/CC 統
計，中國內地被控僵尸網絡數量全球排名第一，2005 年發現的規模超過5000 臺的僵尸網絡達143 個，2006 年上半年發現的規模超過5000 臺的僵尸網絡數量達188 個。這些僵尸網絡的控制服務器很多位于國外，對我公共互聯網的安全造成了嚴重的威脅[1]。
僵尸網絡(Botnet)能夠在攻擊者指令下統一行動，利用宿主機資源執行各種網絡攻擊活
動，最典型的如分布式拒絕服務(DDoS)攻擊、傳播蠕蟲、發送垃圾郵件，以及竊取宿主機敏感信息等。對僵尸網絡的機理和監控手段研究成為網絡安全領域的重要課題之一。國內外很多研究機構開始對僵尸網絡的發現、跟蹤和控制方法進行研究。CNCERT/CC在2004年12月開始進行僵尸網絡監測與控制方面的研究，清華大學CCERT惡意代碼研究項目組于2005年3月開始深入分析和跟蹤僵尸網絡，并開展了對CERNET網絡中存在的僵尸網絡的研究工作，通過對發現的僵尸網絡的跟蹤和深入分析，提出了一個能夠有效識別IRC僵尸網絡控制端的方法，并在CERNET中進行了測試，分析了當前CERNET中僵尸網絡的存在情況，為進一步的跟蹤和捕獲提供有效的依據。
本文首先對僵尸網絡的機理進行的深入分析，然后對僵尸網絡監控技術做了全面的介
紹。在此基礎上，提出了一套僵尸網絡控制端識別系統方案，并給出了實際監控的效果。本研究得到科技部國家高技術研究發展計劃（863）“國家公共互聯網安全監測、預警與危機控制關鍵技術研究”課題支持（編號：2006AA01Z451）。