云计算环境下的僵尸网络*

成淑萍，甘元彪

(1.四川文理学院 智能制造学院，四川 达州 635001;2.国网重庆市电力公司 城口县供电分公司，重庆 405900)

云计算环境下的僵尸网络*

成淑萍1，甘元彪2

(1.四川文理学院 智能制造学院，四川 达州 635001;2.国网重庆市电力公司 城口县供电分公司，重庆 405900)

云计算环境下的僵尸网络(BotCloud)是把传统的僵尸网络移植到云计算平台下的新型僵尸网络。利用云的优势将僵尸网络的构建变得更容易、攻击变得更有效、检测变得更困难。分析了云计算平台和传统僵尸网络结构上的相似性，介绍了BotCloud对云环境的平台造成的威胁，分析了云计算环境下的僵尸网络的相关检测技术，为今后云计算环境下的僵尸网络的检测打下理论基础。

云计算；僵尸网络；结构；检测

0 引言

近几年来，云技术成为人们越来越接受的技术并成为信息技术产业快速增长的部分，它可使用户大量减少基础设施和操作的成本，提供公平的收费系统，可确保其所有的服务具有扩展性等众多益处。云技术不仅向合法用户提供这些优势服务，也同时为连接在Internet的第三方终端设备上部署攻击的恶意用户打开了一扇大门。合法用户抵制外部攻击一直是云技术安全问题的研究热点问题[1]，但对将云平台转变成能发起攻击的平台的可能性很少关注[2]。僵尸网络就是将云平台转换成攻击支持的最大受益者之一，把通过云平台发出攻击的僵尸网络称为僵尸云网络。

1 云计算平台与僵尸网络

云计算平台具有弹性服务、资源池化、按需服务、服务可计费、泛在接入[3]的特点。从图1和图2的云平台和僵尸网络的结构图[4]中可以看出云计算平台与传统僵尸网络的很多特征相似：

(1)两者都是将分散的资源聚合在一起来完成某项任务，这中间整个任务的完成都十分依赖网络流量，云计算平台和僵尸网络的资源都是基于大网络流量和大数据的。

(2)两者的结构都是基于一对多的控制，僵尸网络的集中端为攻击者、被攻击者或僵尸网络控制端，云平台的集中端是云服务提供商。

(3)两者都使计算机资源得到了充分的利用。

图1 云计算平台结构示意图

图2 传统僵尸网络结构示意图

2 云计算环境下僵尸网络的威胁

随着谷歌云、亚马逊云、苹果云、百度云等公有云、私有云应用的逐渐成熟，网络已经全面进入云网络时代。同时网络威胁之一的僵尸网络也进入了这一新时代，并迅速发展。在云环境中，僵尸网络可以根据需求进行便捷设置，构建超大规模的僵尸网络也不需要很多的时间，部署成本更加低廉[5]。现在某些非法用户已经展示了如何在云平台中构建一个僵尸云网络并尝试发起各种攻击[6]。用户可以以每小时9美元或者每天67美元的价格来租用僵尸云网络。僵尸网络主要被用来发起网络安全中公认为最大威胁之一的分布式拒绝服务攻击(DDoS)，其中一项实验研究即是如何在云环境中发起DDoS攻击[7]。除此之外，垃圾邮件、键盘记录、广告程序、间谍程序、点击欺诈、端口扫描等恶意行为在僵尸云网络中得到更大发挥，给用户带来更大的经济损失。

2009年僵尸网络就已经对亚马逊基于云计算的EC2(弹性计算云)服务发起了攻击，引起了内部服务故障，2012年微软也破获了两个zeus僵尸网络服务器。这些都只是僵尸网络被发现的冰山一角，还存在着大量的僵尸网络没有被发现，尤其是在云环境中。本文对僵尸云网络构建和结构进行了一定的分析，在此基础上更好地分析僵尸网络特征影响因素。对于传统僵尸网络检测研究已取得的一些成果，这也将对僵尸云网络的检测及验证提供技术支撑。

3 云计算平台下僵尸网络的检测技术

传统的僵尸网络检测机制有基于行为特征、基于蜜罐/蜜网技术、基于流量聚类分析等多种，这些检测技术在传统网络中对僵尸网络起到了较理想的检测作用。但由于云计算平台的特殊性，不能直接使用这些技术。只有快速、准确地检测出僵尸云网络,才能为僵尸云网络的反制及破坏提供支持。

僵尸云网络的被感染端发起攻击时会出现与传统僵尸网络不同的指标特征， 2014年HAMMI B从一个系统的视角对僵尸云网络发起攻击时可能会产生的特征进行分析[8]，同时也提出了一种基于僵尸云网络的行为检测方法。由于僵尸云网络所具有的云技术中的新特点，用传统僵尸网络的行为特征去检测僵尸云网络已经失去了作用，因此必须先分析出僵尸云网络行为的新特征，再利用特征相似性来检测僵尸云网络。

僵尸网络构建和攻击的时候都会消耗巨大的网络流量，可以监控IP数据流，但取证分析成为这种方法的瓶颈。FRANCOIS J提出一种利用主机的分布式计算框架依赖模型的自适应算法进行取证分析[9]，并在开源的Hadoop集群中进行了实验，可以检测出僵尸网络主机之间的关系，但云服务提供商之间的合作还有很多问题需要解决。

4 结束语

综上所述，云计算环境下的僵尸网络的发展和带来的危害已得到网络安全人员的重视，但由于云计算平台环境的特殊性，使目前僵尸网络的检测方法及技术不能直接应用。云计算环境下的僵尸网络是未来新型僵尸网络的主要发展趋势之一，这会给僵尸网络的检测和反制带来更大的挑战，也将是今后研究工作的重点和难点。

[1] KHORSHED H T,ABM A， WASIMI S A.A survey on gaps,threat remediation challenges and some thoughts for proactive attack detection in cloud computing[J].Future Generation Computer Systems,2012，28(6):833-851.

[2] MODI C,PATEL D,BORISANIYA B,et al.A survey of intrusion detection techniques in cloud[J].Journal of Network and Computer Applications,2013，36(1):42-57.

[3] 罗军舟，金嘉晖，宋爱波，等.云计算：体系结构与关键技术[J].通信学报,2011,7(32):3-21

[4] 成淑萍.基于网络流量的僵尸网络动态检测平台的研究[D].成都：四川师范大学,2013.

[5] BADIS H,KHATOUN R,DOYEN G.A factorial space for a system-based detection of botcloud activity[C].Sixth IFIP International Conference on New Technologies,Mobility and Security (NTMS 2014).IFIP/IEEE,2014：1-5.

[6] CLARK K,WARNIER M,BRAZIER F.BotClouds:the future of cloud-based botnets[C].Proceedings of the 1st International Conference on Cloud Computing and Services Science， Noordwijkerhout,2011:597-603.

[7] PEDRAM H,JIA J,DARIA R.Botcloud an emerging platform for cyber-attacks[EB/OL].(2012-10-xx)[2016-1-30] http://baesystemsdetica.blogspot.fr.

[8] HAMMI B,DOYEN G， KHATOUN R.Understanding Botclouds from a system perspective:a principal component analysis[C].The 14th IEEE/IFIP Network Operations and Management Symposium (NOMS 2014),Krakow,POLAND， 2014：5-9.

[9] FRANCOIS J,Wang Shaonan,BRONZI W,et al.Botcloud:detecting botnets using mapreduce[C].Information Forensics and Security (WIFS),IEEE International Workshop， 2011：1-6.

Botnet in the environment of Cloud computing

Cheng Shuping1,Gan Yuanbiao2

(1.School of Intelligent Manufacturing,Sichuan University of Arts and Science,Dazhou 635001,China;2.State Grid Chengkou County of Chongqing Power Supply Company,Chongqing 405900,China)

Botnet in the environment of cloud computing(BotCloud) is new botnet which transplanted from the traditional botnet to the Cloud computing platform.It takes advantages of the Cloud to build a botnet attack easier,and the botnet is more effective to attack,and it is more difficult to detect.We analyze the similarity of the Cloud computing platform and the traditional botnet,and the threaten of BotCloud on the Cloud platform environment,the related detection technology of the botnet in the Cloud computing environment.These will lay the theoretical foundation for the future of the botnet detection of the cloud computing environment.

Cloud computing; botnet; structure; detection

四川文理学院面上项目资助(2014Z011Y)

TP393.08

A

10.19358/j.issn.1674- 7720.2017.10.002

成淑萍，甘元彪.云计算环境下的僵尸网络[J].微型机与应用，2017,36(10)：5-6，14.

2016-11-30)

成淑萍(1988-)，通信作者，女，硕士，助教，主要研究方向：网络安全。E-mail:124791633@qq.com。

甘元彪(1986-)，男，本科，主研研究方向：信息安全，计算机技术。