【正文】 ote control of the victim puter via Internet Relay Chat(IRC). Newer bots can even automatically scan whole network ranges and propagate themselves using vulnerabilities and weak passwords on other machines. After successful invasion,a bot uses Trivial File Transfer Protocol(TFTP),File Transfer Protocol(FTP),HyperText Transfer Protocol(HTTP),or CSend(an IRC extension to send files to other users)to transfer itself to the promised host. The binary is started and tries to connect to the hardcoded master IRC server on a predefined port,often using a server password to protect the botnet infrastructure. This server acts as the Camp。C server to manage the botnet.Often a dynamic DNS name is provided rather than a hard coded IP address,so the bot can be easily relocated. Using a specially crafted nickname,the bot tries to join the master’s channel,often using a channel password,too. In this channel, the bot can be remotely controlled by the attacker. Commands can be sent to the bot in two different ways:via sending an ordinary mand directly to the bot or via setting a special topic in the channel that all bots interpret. If the topic does not contain any instructions for the bot,then it does nothing but idling in the channel,awaiting mands. That is fundamental for most current bots:they do not spread if they are not told to spread in their master’s channel. Figure 1 depicts the typical munication flow in a botnet. In order to remotely control the bots,the controller of a botnet has to authenticate himself before issuing mands. This authentication is done with the help of a classical authentication scheme. At first,the controller has to login with his username. Afterwards,he has to authenticate with the correct password to approve his authenticity. The whole authentication process is only allowed from a predefined domain,so that only certain people can start this process. Once an attacker is authenticated,he has plete control over the bots and can execute arbitrary mands.Preventing Distributed DenialofService Attacks In this section we introduce a general methodology to prevent DDoS attacks.It is based on the following line of reasoning: mount a successful DDoS attack,a large number of promised machines are necessary. coordinate a large number of machines,the attacker needs a remote control mechanism. the remote control mechanism is disabled,the DoS attack is prevented. We will substantiate this line of reasoning in the following paragraphs. A Large Number of Machines is Necessary.Why does an attacker need a large number of machines to mount a successful DDoS attack?If an attacker controls only few machines,a DDoS attack is successful only if the total resources of the attacker(.,available bandwidth or possibility to generate many packets per second)are greater than the resources of the victim.Otherwise the victim is able to cope with the ,if this requirement is met,the attacker can effciently overwhelm the services offered by the victim or cause the loss of network connectivity. Moreover,if only a small number of attacking machines are involved in an attack,these machines can be identified and counteractive measures can be applied.英文文獻譯文：互聯(lián)網(wǎng)犯罪的日益專業(yè)化的重要證人是所謂的拒絕服務（DoS）攻擊。DoS攻擊是一種在計算機系統(tǒng)或網(wǎng)絡的服務導致用戶損失的一種攻擊，通常是通過消耗受害者網(wǎng)絡的帶寬速度和超載受害者系統(tǒng)的網(wǎng)絡資源而失去網(wǎng)絡連接和服務。使用可用的工具，它比較容易安裝在遠程網(wǎng)絡上進行拒絕服務攻擊。對于（面向連接）互聯(lián)網(wǎng)協(xié)議TCP，最常見的技術就是TCP SYN洪水，在目標機上它包含了創(chuàng)造性的“半開放”的大量TCP連接，從而耗盡內核數(shù)據(jù)結構以及讓不可能讓機器獲得新的連接。對于UDP協(xié)議來說，UDP的泛濫技術包括用大量的數(shù)據(jù)包來耗盡目標機從而耗盡網(wǎng)絡帶寬和其他計算資源。像垃圾郵件，這是眾所周知的，因為他們的“語義”的性質DoS攻擊是非常難以避免，在施奈爾術語中，我們攻擊目標的語義的方式按照分配意義的內容。例如，在一個人氣高峰的大型網(wǎng)站很難區(qū)分DoS攻擊。使用認證原則上是可以探測和識別在數(shù)據(jù)包的IP地址分布看一個單一的DoS攻擊的來源。然而，如果多重攻擊主機在協(xié)調的方式中攻擊受害者，那么檢測到這種攻擊這幾乎是不可能的。這種攻擊被稱為分布式拒絕服務（DDoS）。DDoS攻擊在互聯(lián)網(wǎng)上最危險的威脅之一，因為他們今天不局限于Web服務器，幾乎所有的服務在互聯(lián)網(wǎng)上公布可以是這樣一個目標攻擊。高層協(xié)議可以用來利用非常具體的攻擊有效地增加負荷，如在電子公告牌上運行不斷的搜索查詢或安裝排氣網(wǎng)絡蜘蛛的攻擊，即從一個給定的網(wǎng)站開始，然后遞歸要求對所有鏈接網(wǎng)站。在過去，也有嚴重的DDoS攻擊的幾個例子。2000年2月，一次攻擊的主要目標是電子商務公司和新聞網(wǎng)站。網(wǎng)絡流量淹沒了可用Internet連接，以便沒有用戶在幾個小時之內可以訪問這些網(wǎng)站。在近幾年來，DDoS攻擊所造成的威脅開始增長并轉化為現(xiàn)實網(wǎng)絡犯罪。在這方面一個專業(yè)性的例子就是在2004年歐洲足球錦標賽，對一個博彩公司的訛詐企圖，攻擊者威脅說要這個公司的網(wǎng)站離線除非公司付錢，在其他運動事件中也發(fā)生了類似的犯罪記錄。此外，在2004年的報告中有這樣的記錄，公司為防止DDoS攻擊而付款給競爭對手網(wǎng)站。這些類型的攻擊往往涉及所謂的僵尸網(wǎng)絡，也就是說，損害是由攻擊者遠程控制計算機網(wǎng)絡。僵尸網(wǎng)絡通常由數(shù)千名機，使攻擊者造成嚴重損害。僵尸網(wǎng)絡經(jīng)常使用于進行DDoS攻擊，因為他們在目標系統(tǒng)中結合帶寬壓倒多數(shù)的可用帶寬。此外，數(shù)千名受到攻擊的機器每秒可產(chǎn)生使目標無法應對這么多的要求包攻擊。對DDoS的防御措施可以劃分為預防或反應兩種形式。目前，反應技術占DDoS防御方法的主導地位。[MDDR04]給出了學術和商業(yè)系統(tǒng)優(yōu)秀調查。理想的檢測方法是通過降低惡意網(wǎng)絡流量的管理水平使某種（分布式）對網(wǎng)絡流量異常檢測形成攻擊，然后作出反應來檢測攻擊。但是這種方法的缺點是，他們需要一個日益復雜強大和有效的檢測和分析基礎，最好是對網(wǎng)絡流量進行實時分析。 預防方法之一是消除DDoS攻擊的可能性，或者幫助受害者通過了解更多的與之相關的資源來避免攻擊?；蛘咴谌魏尉W(wǎng)絡互動形式之前通過引入一些強制認證（例如Meadows這個例子）。雖然這些在理論上都是有效的，這些方法總是歸結為攻擊者和受害者之間的競賽，而往往獲得資源多的一方勝利。在實踐中，這場競賽大部分總是被攻擊者贏了，因為它與受害者相比通常更容易增加資源（由于需要更多的機器），受害者需要投資更多的設備網(wǎng)絡帶寬的錢。為了避免DDoS攻擊的預防性技術（即確保在DDoS攻擊之前停止）至今沒有收到廣發(fā)的關注。其中一個最主要的流行民間傳說可能就是，唯一有效的解決所有Internet主機的DDoS防范技術手段，可用于所有漏洞攻擊濫用（例如見第[MR04] 5號）。在本文中我們證明這種民間傳說是錯誤的，因為預防DDoS攻擊的有效途徑，既不是競賽過程中的資源，也不是任何額外的（認證）的基礎設施。該方法是基于觀察，因為許多主機的協(xié)調自動化活動是DDoS攻擊的核心。因此，攻擊者需要一個機制來遠程控制大量的機器。為了防止DDoS攻擊，我們試圖找出相應的方法，去定義、滲透和分析這種遠程控制機制，并停止自動化和控制。由于DDoS攻擊的產(chǎn)生在于其本質所具有的危險性，我們認為我們的做法是根據(jù)根本問題推出的關于DdoS的防御方法。惡意攻擊者想要自動分析和遠程控制的方法似乎是不太可能。然而，通過描述我們如何成功地在互聯(lián)網(wǎng)上跟蹤和調查僵尸網(wǎng)絡的自動攻擊活動的可行性證據(jù)提供了我們的戰(zhàn)略。我們的方法和思路就是利用蜜罐“撲捉”惡意軟件，例如網(wǎng)絡資源（計算機，路由器，交換機等）部署被探測，攻擊和破壞。蜜罐所運行的特殊軟件將永久地收集有關系統(tǒng)的行為數(shù)據(jù)，便于自動化后的事件法醫(yī)分析，從自動化的分析中，我們推導出遵守和維護打擊僵尸網(wǎng)絡的惡意行動的重要信息。從某種意義上說，我們的方法可以被定性為契機對自己的攻擊方法。這編文章的組織結構如下：第2章節(jié)給出了一個關于僵尸網(wǎng)絡和它們在DDOS攻擊方面作用的大致簡介。在第3章節(jié)中我們介紹了防止DDoS攻擊的一般方法和第4章節(jié)體現(xiàn)在技術上的實現(xiàn)。我們在第5章節(jié)中闡述相關的結果以及在第6章節(jié)中給出本文總結。在本節(jié)中，我們對僵尸網(wǎng)絡給出了一個簡要概述，以及如何可以被用來發(fā)動DDoS攻擊。更多的技術細節(jié)可以在[The05]中找到。僵尸是在共同指揮和控制基礎設施下計算機網(wǎng)絡入侵正在運行程序的網(wǎng)絡。在通常情況下，僵尸網(wǎng)絡控制器服從一系列制度下的各種工具，然后安裝一個機器人，通過網(wǎng)絡中繼聊天（IRC）使受害者電腦受于控制。較新機器人可以自動掃描整個網(wǎng)絡范圍和通過其他機器上的漏洞和弱口令來傳播。在入侵成功之后，機器人使用普通文件傳輸協(xié)議（TFTP），文件傳輸協(xié)議（FTP），超文本傳輸??協(xié)議（HTTP）或CSend（一個IRC擴展將文件發(fā)送到其他用戶）來傳輸給受損的主機。二進制啟動并嘗試連接到端口服務器，通常使用密碼來保護僵尸網(wǎng)絡基礎設施。該服務器充當C＆C服務器來管理僵尸網(wǎng)絡。通常，提供的是動態(tài)DNS名稱而不是硬編碼的IP地址，因此機器人可以很容易的搬遷。個機器人使用特制的綽號，經(jīng)常使用一個通道的密碼試圖加入控制機器的渠道。在這個頻道中，機器人可以進行遠程攻擊者控制。命令可以以兩種不同的方式傳送給機器，一種是直接發(fā)送命令給機器，另一種是在通道中傳送特殊主題，之后所有的機器人解釋。如果發(fā)送給機器人的主題不包含任何指令，那么它只是在空轉的通道等待命令。這是最新機器人的基本：如果他們沒有被通知在渠道擴散消息，那么它們就不會傳播消息。圖1描繪了一個典型的僵尸網(wǎng)絡通信流。為了遠程控制機器人，一個僵尸網(wǎng)絡控制器在下達命令之前，會驗證自己。這種認證是通過一個經(jīng)典的身份驗證方案的幫助。起初，控制器應該用自己的用戶名進行登錄。之后，它必須用正確的密碼來驗證其真實性。整個