僵尸网络怎么处理(P2P僵尸网络的传播建模与分析)

僵尸网络是一个有组织的覆盖网络，由攻击者组成，他们通过恶意传播僵尸主机来控制网络中的大量节点，并通过对拥有许多命令和控制通道[1]。大量受控节点被称为机器人。僵尸所有者使用大量受控的僵尸工具进行网络破坏活动，如发送垃圾邮件、窃取信息、分布式拒绝服务攻击等。目前，僵尸网络已经成为互联网最大的威胁之一。传统僵尸网络采用集中指挥控制结构。一旦中心节点被摧毁，整个僵尸网络将瘫痪。相比之下，P2P僵尸网络采用分布式的命令和控制结构，可以有效地隐藏它们之间的通信，不会因为一个节点被破坏而导致整个网络无法正常工作。因此，近年来，许多僵尸网络的拥有者已经将策略转向P2P僵尸网络，并出现了大量的木马等P2P僵尸网络。桃色和暴风僵尸网络已经出现[3]，这对对的网络安全构成了严重威胁。为了有效预防和控制P2P僵尸网络的传播，许多网络安全专家做了大量有价值的研究[4-10]。文献[4]从可达性、可扩展性和健壮性等方面详细分析了新型P2P僵尸网络Antbot的实现过程，并在实践中提出了减少Antbot破坏活动的可行方法。文献[5]提出了一个统一的场模型，在此基础上分析了P2P僵尸网络传播的动态行为，并与软件仿真方法进行了比较。文献[6]提出了对风暴蠕虫P2P僵尸网络的随机模型，基于该模型，分析了恢复率和初始感染率对对僵尸网络最终感染规模的影响。文献[7]研究了未来高级僵尸网络的攻击技术，并设计了一个混合P2P僵尸网络来研究其防御方法；结果表明，对蜜罐技术可以防止未来高级僵尸网络的爆发。文献[9-10]集中于僵尸网络检测技术。

在现有的工作中，很少有研究通过数学模型来描述僵尸网络的传播行为。考虑到数学建模对在研究计算机病毒传播过程中的有效性，根据文献[11]提出的愿式僵尸网络的形成过程，建立了一个延迟微分方程模型，并从数学角度分析了其传播动力学。1栋模型建筑

自我网络的形成过程分为两个阶段[11]:第一阶段，僵尸主机从整个互联网感染易受攻击的节点；

在第二阶段，新感染的节点正式加入现有的僵尸网络，并与其他节点连接成为一个僵尸机器。为了准确描述愿式僵尸网络的传播动力学，本文采用了考虑潜伏期的Seir(易感-暴露-感染-恢复)流行病模型。模型的四种状态具有以下含义。

1)S易受感染。它表示网络中的节点(终端用户、路由器或网络服务器)存在漏洞，但未被僵尸程序感染。2)戊处于潜伏状态。这意味着网络中的节点已经被计算机病毒感染，但没有能力感染其他节点。本文指出该节点已被僵尸程序感染，但尚未正式加入现有的自愿式僵尸网络。

我被感染了。表示网络中的节点已被计算机病毒感染，并可能感染其他节点；本文表明该节点已经正式加入了自愿式僵尸网络。4)R是恢复状态。这意味着网络中的节点已经采取了免疫措施，不会被机器人感染。

在任何时候，网络中的任何节点都处于这四种状态之一，并且在僵尸工具和反病毒程序的作用下，随着时间的推移，转化在这四种状态之间执行，如特定的转化进程如图1所示。图6显示，感染率对对僵尸网络传播的规模有很大影响。当为0时，感染率为常数(初始感染率0)。值越大，感染率越小，僵尸网络传播的最终规模越小。因此，降低感染率是有效控制僵尸网络传播规模的有效途径。在实际的网络管理中，可以通过不均匀分布敏感节点、断开受感染节点和安装防病毒软件来降低感染率。

结论P2P僵尸网络的大规模蔓延对对的网络安全造成了严重影响。本文根据Leeching僵尸网络的形成过程，建立了一个新的动态模型，并通过定性的数学分析，找到了——基本再生数消除僵尸网络的临界值。最后，通过Matlab数值仿真验证了理论分析的正确性。仿真结果表明：1)时间延迟与僵尸网络传播达到稳定状态所需的时间成正比，但的大小不影响僵尸网络的最终规模；2)从E态到I态的节点比例越大，僵尸网络最终达到的规模越大。本文的研究结果可以为有效预防和消除僵尸网络的爆发提供良好的理论依据。今后，收集真实数据进行验证并不断完善这一模型是进一步的工作。