探析僵尸網絡犯罪的危害及防控

摘要：近年來，隨著網絡的高速發展，僵尸網絡犯罪已成為一個備受人們關注的問題。本文分析僵尸網絡犯罪的現狀、主要的攻擊方式，并提出打擊僵尸網絡犯罪的防控對策。

關鍵詞：僵尸網絡；蜜罐；分布式拒絕服務攻擊

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2008)27-1933-02

The Analysis of BotNet Crime

ZHANG Hui

(Shandong Police College，Jinan 250014，China)

Abstract: In recent years，the BotNet crime has already become a question concerned the commons with the high development of the network.This paper expounds the current situation of BotNet crime and the harm it does to society.Moreover，we put forward the countermeasures against the BotNet crime.

Key words: botnet; honeypot; DDos

1 引言

隨著計算機網絡的普及和發展，網上的失序行為不斷發生，逐漸引起社會大眾的重視。同時，網絡犯罪的類型也在不斷變化，一些傳統的犯罪行為以網絡犯罪的形式逐步增多。網絡環境下的犯罪形態多種多樣，僵尸網絡犯罪是其中主要的一種表現形式。

2 僵尸網絡

僵尸網絡是一種新興的互聯網威脅，其數量、規模和危害級別正在迅速增長，已經讓全球網絡進入新的警戒狀態。“僵尸”是指受到黑客集中控制的一群計算機，可被黑客利用發起大規模的攻擊，同時這些僵尸計算機所保存的信息也都可被黑客隨意“取用”。Message Labs對2004年全年截獲的郵件進行調查的結果顯示，有70%的垃圾郵件來源于僵尸網絡；Cipher Trust公司2005年4月和5月的數據顯示，每天約有15～17萬新的僵尸程序出現，其中，位于中國的為20%～15%。中國與美國交替名列僵尸程序感染源數量的榜首。尤其危險的是，大量主機已經在用戶毫不知情的情況下被黑客暗中控制，僵尸網絡已經成為威脅網絡與信息安全的最大隱患。

3 僵尸網絡犯罪的主要形式

利用僵尸網絡展開不同的犯罪攻擊，可能導致整個基礎信息網絡或者重要應用系統癱瘓，也可能導致大量機密或個人隱私泄漏，還可以被用來從事網絡欺詐等其他違法犯罪活動。而且，隨著黑客技術的不斷發展，僵尸網絡還可能被用來發起新的未知攻擊。僵尸網絡犯罪主要有以下四種形式：

3.1 分布式拒絕服務攻擊(DDoS)

利用僵尸網絡發動DDoS攻擊是網絡犯罪的主要方式之一。分布式拒絕服務(DDoS)是一種特殊形式的拒絕服務攻擊，是指一個用戶占據了大量的共享資源，使系統無法將剩余的資源分配給其它用戶再提供服務的一種攻擊方式。利用僵尸網絡發動DDoS犯罪攻擊是攻擊者通過向自己控制的所有的僵尸計算機發送指令，讓它們在特定的時間同時開始連續訪問特定的網絡目標，從而達到DDoS目的。攻擊者可以設定訪問指令的并發任務個數、重復次數、包長等。由于僵尸網絡可以形成龐大規模，而且利用其進行DDoS攻擊可以做到更好的同步，還可以完全使用正常的訪問指令等，都使得這種DDoS比原來的DDoS手段危害更大、防范更難。

3.2 發送垃圾郵件

黑客可以利用僵尸網絡大量發送垃圾郵件，發送者可以完全隱藏自己的IP信息。由于僵尸網絡控制的僵尸計算機數量龐大，地址分散，所以很難監測，會造成巨大的危害。

3.3 竊取秘密

僵尸網絡的控制者可以通過上傳一些間諜軟件和監聽軟件，如key logger等從僵尸計算機中竊取用戶的各種敏感信息、個人賬號、信用卡密碼、機密數據等。竊取的內容不但包括用戶存在于計算機中的數據文件，還包括用戶使用計算機的一舉一動。

3.4 濫用資源

攻擊者利用僵尸計算機從事各種需要耗費網絡資源的活動，可能造成重大的經濟損失。例如，為了謀取經濟利益，攻擊者在僵尸計算機中植入廣告軟件，不斷訪問特定的網址；或者利用僵尸計算機下載、存貯各種大型數據資料或違法數據資料。攻擊者還可以非法操縱僵尸計算機進行在線投票、網絡選舉等活動，或搭建假冒的銀行網站及其他服務器進行網絡釣魚欺詐等犯罪活動。

4 僵尸網絡犯罪的防控

日益嚴重的僵尸網絡犯罪給社會帶來了很大的隱患，其高智能性、無地域性特點使得傳統的防范思路和手段在新的犯罪形勢面前顯得力不從心。為確實保障網絡健康、有序、穩定的發展，需要從健全法規保障機制、加強技術防范措施及提高全民防范意識著手，將僵尸網絡犯罪遏制在萌芽狀態，盡力營造一個使僵尸網絡犯罪無處容身網絡世界。

4.1 健全法規保障機制

為了有效的防范僵尸網絡犯罪，明確而行之有效的規定與體系必不可少。

1) 加強國家主干網絡的防護。如中國移動、韓國電信Hanaao Telecom 和MWeb先后配置了Radware的入侵防護系統DefensePro，以保護基礎設施不受僵尸網絡的困擾。

2) 加強公安部門的網絡監察功能。公安網監部門的主要職責是打擊網上違法犯罪，維護網絡正常秩序。像深圳市公安局公共網監分局推出的網絡警察“警警”和“察察”的卡通形象，在深圳的各大網站和論壇上進行監察，這也是我國首例虛擬社會警察。

3) 加強跨國警力合作。僵尸網絡犯罪的高智能性和無國界性決定了需要各個地方的警力密切配合，相互支援，必要的時候，對于那些跨國的僵尸網絡犯罪，還需要各國警察通力合作。

4.2 加強技術防范措施

技術發展的弊端應由技術來克服，法律規范僅僅是技術不能狀態下的暫時補充。先進的科技防范是預防和控制僵尸網絡犯罪的最有力的武器。

1) 發現僵尸網絡

發現僵尸網絡的常用方法有三種：IDS方法、蜜罐捕獲法和行為監測法。IDS入侵檢測系統是依照一定的安全策略，對網絡的運行狀況進行監視，盡可能發現各種攻擊企圖、攻擊行為或者攻擊結果。蜜罐捕獲法是通過模擬真實的網絡服務來吸引攻擊，對攻擊者的攻擊行為和過程進行記錄分析，對新型攻擊發出預警。行為監測法則根據流量和網絡連接來進行對僵尸網絡的發現。

2) 追蹤僵尸網絡

目前， HoneyClient——客戶端蜜罐技術是常用的追蹤僵尸網絡方法，主要用來捕捉發生在honeypot中所有有關入侵的數據，幫助準確重建攻擊者侵入系統后的行為。

4.3 提高全民防范意識

社會各界應該加強對僵尸網絡知識的宣傳與教育，使人們對僵尸程序有盡可能多的了解對網絡上設置的陷阱保持警惕，以增強其自我保護的意識、能力與水平。

1) 提高安全意識，及時安裝系統補丁，更新反病毒軟件。

2) 查看端口，僵尸程序的服務器端口一般為6000:70000。

3) 查看網絡流量是否出現異常。

4) 在發現被感染后，及時斷開網絡連接。

5 結束語

計算機及互聯網的發展是現代科學技術發展的必然產物，也是人類智慧的結晶，為了更好的保障網絡信息安全，僵尸網絡犯罪的相關研究還任重道遠。

參考文獻：

[1] 郭宏剛，楊芳.論僵尸網絡犯罪的現狀和危害[J].河北公安警察職業學院學報，2008，1:10.

[2] 了解你的敵人：跟蹤僵尸網絡[M].吳智發，譯.[EB/OL].http://www .honeynet.org，2005，3.

[3] 張輝.僵尸網絡的發現與追蹤[J].電腦知識與技術，2007，4(19):104.