口 强２ＵＪＵ年弟ｚｊ罨弟 期 Ｅｌｅｃｔｒｏｎｉｃ Ｓｃｉ．＆Ｔｅｃｈ．／Ｎｏｖ．１５．２０１０ 基于异常行为特征的僵尸网络检测方法研究 杨摘要奇，何聚厚 （陕西师范大学计算机科学学院，陕西西安７１００６２） 基于僵尸网络通信及网络流量的异常行为，可以有效检测出僵尸频道。介绍了通过对主机响应信息的异 常分析，进而判断出当前ＩＲＣ频道是否为一个僵尸频道的检测算法。由此引入了基于异常行为的僵尸频道检测模型， 该模型分类提取ＩＲＣ频道的主机响应信息，结合检测算法分析得出结论。实验结果验证了该模型的有效性。 关键词僵尸网络；僵尸频道；响应集群 ＴＰ３９３ 文献标识码Ａ 文章编号１００７—７８２０（２０１０）１１—１０９一ｏ４ 中图分类号Ａｂｎｏｒｍａｌ Ｂｅｈａｖｉｏｒ－Ｂａｓｅｄ Ｂｏｔｎｅｔ Ｄｅｔｅｃｔｉｏｎ Ａｌｇｏｒｉｔｈｍ Ｙａｎｇ Ｑｉ，Ｈｅ Ｊｕｈｏｕ （Ｓｃｈｏｏｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｓｈａａｎｘｉ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ’ａｎ ７１００６２，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ Ｔｈｅ ｚｏｍｂｉｅ ｎｅｔｗｏｒｋ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ａｎｄ ｎｅｔｗｏｒｋ ｔｒａｆｆｉｃ ｂａｓｅｄ ａｂｎｏｒｍａｌ ｂｅｈａｖｉｏｒ ｃａｎ ｄｅｔｅｃｔ ｔｈｅ ｂｏｔ． ｎｅｔ ｃｈａｎｎｅｌ ｅｆｆｅｃｔｉｖｅｌｙ．Ｔｈｉｓ ｐａｐｅｒ ｄｅｓｃｒｉｂｅｓ ａｎ ａｌｇｏｒｉｔｈｍ ｗｈｉｃｈ ｃａｎ ｄｅｔｅｒｍｉｎｅ ｗｈｅｔｈｅｒ ｔｈｅ ｃｕｒｒｅｎｔ ＩＲＣ ｃｈａｎｎｅｌ ｉｓ ａ ｂｏｔｎｅｔ ｃｈａｎｎｅｌ ｏｒ ｎｏｔ ｔｈｒｏｕｇｈ ｔｈｅ ａｎａｌｙｓｉｓ ｏｆ ｔｈｅ ｉｎｆｏｒｍａｔｉｏｎ ｏｎ ｔｈｅ ｒｅｓｐｏｎｓｅ．Ｔｈｅ Ａｎｏｍａｌｙ－ｂａｓｅｄ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌ ａ— ｂｏｕｔ ｔｈｅ ｂｏｔｎｅｔ ｃｈａｎｎｅｌ ｉｓ ｉｎｔｒｏｄｕｃｅｄ，ｗｈｉｃｈ ｅｘｔｒａｃｔｓ ｔｈｅ ｉｎｆｏｒｍａｔｉｏｎ ｏｎ ｔｈｅ ｒｅｓｐｏｎｓｅ ａｎｄ ｄｒａｗｓ ａ ｃｏｎｃｌｕｓｉｏｎ ｂｙ ｔｈｅ ｔｅｓｔｉｎｇ ａｌｇｏｒｉｔｈｍ．Ｔｈｅ ｅｘｐｅｒｉｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｖｅｒｉｆｙ ｔｈｅ ｖａｌｉｄｉｔｙ ｏｆ ｔｈｅ ｍｏｄｅ１． Ｋｅｙｗｏｒｄｓ ｂｏｔｎｅｔ；ｂｏｔｎｅｔ ｃｈａｎｎｅｌ；ｒｅｓｐｏｎｓｅ ｃｌｕｓｔｅｒｓ 僵尸网络是攻击者利用互联网秘密建立的可以集 中控制的计算机群 ｊ，并由此可以进行大范围的分布 式拒绝服务攻击、发送垃圾邮件、网络仿冒等。快速 有效地检测到僵尸网络，可以预防和控制相关网络事 ＩＲＣ僵尸网络检测方法 、德国ＲＷＴＨ亚琛大学 Ｇｏｅｂｅｌ等提出的根据ＩＲＣ用户昵称检测僵尸网络的方 法Ｒｉｓｈｉ＿６ 和美国ＡＴ＆Ｔ实验室Ｋａｒａｓａｒｉｄｉｓ等人提出的 大范围检测僵尸网络的方法 等等，尤其以乔治亚理 工学院的Ｇｕ等人完成的ＢｏｔＨｕｎｔｅｒ 、ＢｏｔＳｎｉｆｆｅｒ 和 Ｂｏｔ Ｍｉｎｅｒｌｌ 最具代表性。 文中提出了一种基于异常行为特征的ＩＲＣ僵尸网 络检测方法，该方法基于网络流检测，提取ＩＲＣ终端 件。但由于被控制计算机的覆盖面广、类型复杂多 样，则为僵尸网络的检测提出了挑战。 目前检测僵尸网络主要有３类方法：（１）基于蜜 罐蜜网技术。如德国的蜜网项目和北京大学的狩猎女 神项目 等。（２）基于终端信息的检测技术。僵尸终 端要通过命令与控制信道和控制者通信，因此僵尸终 端包含许多有意义的信息，采集这些信息对检测僵尸 网络非常重要。比较有特点的有美国哈佛大学Ｍａｌａｎ 等人提出的基于对端的快速检测算法 和英国诺丁汉 主机对控制命令的响应信息，进而分析一个频道是否 为僵尸频道，该方法的优点是不需要先验知识。 １ 基于异常行为特征的僵尸频道检测模型 现有的僵尸网络检测算法主要针对ＩＲＣ协议，且 绝大多数是根据网络流量的相关属性分析判断，这样 存在较大的局限性。 （１）ＩＲＣ协议是正规的网络聊天协议，其网络流 量与正常的比较类似。 大学Ａ１．Ｈａｍｍａｄｉ等人提出的基于日志相关性的检测 算法 Ｊ。（３）基于网络流的检测技术。僵尸网络拥有 大量的僵尸终端，控制者与僵尸终端之间的通信与正 常用户之间的通信有较大差异，通过监控网络流特征 有可能寻找到命令与控制信道。该类方法有美国 ＢＢＮＴｅｃｈｎｏｌｏｇｉｅｓ的Ｓｔｒａｙｅｒ等提出的基于机器学习的 收稿日期：２０１０．０３．２９ （２）通信过程中产生的网络流量很小，难以发现 只有极少数的ｂｏｔ存在的僵尸网络。 （３）通信过程中可以加密，增加了检测的难度。 针对以上问题，考虑从僵尸网络异常行为的角度 出发，提出一种基于僵尸网络异常行为特征的检测模 型，通过分析当前聊天频道内的异常行为检测僵尸网 １０９ 作者简介：杨奇（１９８４一），男，硕士研究生。研究方向：计 算机网络安全。 杨奇，等：基于异常行为特征的僵尸网络检测方法研究 络的存在。 由于传统检测算法大部分是针对基于ＩＲＣ协议的 僵尸网络，通过分析网络流量的相关属性得出结论 的，这样检测往往会遇到一些困难，比如ＩＲＣ服务器 的端口是可以随意修改的并不总是６６６７，而僵尸呢 称是可以随意修改的。所以基于这些属性的检测方法 效果不佳好。而从基于异常行为的角度出发则会提高 僵尸网络检测的成功率，因为僵尸网络的存在势必要 ｆｆｆ ｆ１ Ｉ Ｔｉｒ ｆｆ７ ｆｆ ｌ ‘ ＴｉＩ ］ＴｉＩ ］ｆｆｆ ｆｆ ｆ 进行一些恶意的攻击行为，只要能够检测出当前ＩＲＣ 聊天频道下的恶意行为则可断定僵尸网络的存在。 在一个僵尸频道中如果存在多个ｂｏｔｓ对控制命令 做出响应，他们的响应将是相似的 Ｊ。在相同的时间 窗口（时问范围）内，如果ｂｏｔｓ发送相似的信息或有 相同的行为，如发送垃圾邮件…』，则把这些ｂｏｔｓ定 义为一个相似响应集。对于正常的网络服务而言，在 同一时间窗口下存在许多相似响应是不可能发生的。 这就是僵尸网络特有的异常行为特征。该算法研究目 的就是用来识别一个频道中是否存在这样的异常行 为，依次判断该频道是否是一个僵尸频道。１．１ 僵尸网络异常行为特征描述 翟 鐾 氍 僵尸网络Ｃ＆Ｃ（命令控制信道）中的ｂｏｔ对控制命 令的响应会有空间暂时的相关性和相似性。对于僵尸 网络中的主机来说，ｂｏｔｓ需要连接到Ｃ＆Ｃ ｓｅｒｖｅｒｓ上 以获取命令。当接收到ｓｅｒｖｅｒ的控制命令后ｂｏｔｓ会根 据命令做出反应。Ｂｏｔｓ的反应分为以下两种： （１）消息响应。ｂｏｔ接收到命令后会执行然后向所 在ＩＲＣ信道发送执行后的结果，以便ｓｅｒｖｅｒ控制者窃 取到ｂｏｔ主机的信息，资料等。图１描述了在同一个 ＩＲＣ信道下不同ｈｏｔ对控制命令进行消息响应的情形。 （２）行为响应。ｂｏｔ接收到命令后执行攻击行为， 如ＤＤｏｓ攻击，发送垃圾邮件，下载恶意代码等。图 ２描述了在同一个ＩＲＣ信道下不同的ｂｏｔ对控制命令 做出行为响应的情形。 盛 ｆ ｆ ｆ ＴｉｍＥ ｈｏｔ １ ｌ ｆ Ｔｉｍｅ ｂｏｔ １ ｆ ｆ Ｔｉｍｅ １消息响应（ｅ．ｇ．，ＩＲＣ ＰＲＩＶＭＳＧ） 僵尸频道内主机消息响应集 １１０ ｆ竹网络扫描ｌｆ发送垃圾邮件ｆ下载恶意代码 图２僵尸频道内主机行为响应集 据统计 ，目前基于ＩＲＣ僵尸网络中有５３％的 控制命令是用来恶意扫描和进行ＤＤｏｓ攻击用的， １４．４％是进行恶意代码的下载与传播，基于Ｈｔｔｐ的 僵尸网络主要是用来发送垃圾邮件。所以，能够发现 ｂｏｔ主机对控制命令的行为响应将会提高检测到僵尸 网络的可能性。 １．２基于异常行为的僵尸频道检测模型 图３给出了基于异常行为的僵尸频道检测模型 图，要实现此检测模型，可分为如下３个步骤： （１）利用抓包工具获取网络流信息，过滤提取相 关的ＩＲＣ协议信息。 （２）将过滤的信息根据主机的响应不同分为消息 响应和行为响应两种并分别存储于日志文件当中。 （３）定时提取日志中的两种主机响应信息采用响 应集密度检测算法分析，得出结论。 图３基于异常行为的僵尸频道检测模型 １．３ 响应集群密集度检测算法描述 把连接到同一台ｓｅｒｖｅｒ的计算机分成一个组，查 找同组中计算机的所有消息和活动响应行为，如果该 组存在的相同消息或相同行为的响应超过一个预先通 过观察或实验获得的阀值，则断定该组中做出响应的 计算机形成了一个密集的响应集。对于每一个时间窗 口，检查是否存在一个密集的响应集。 令待观察频道为ｃ，令 表示第ｉ个响应集是否 是一个密集响应集 ， 『０，该响应集不密集 ，，、 【１，该响应集密集 杨奇，等：基于异常行为特征的僵尸网络检测方法研究 当获得观察】，。， ， ，…时，利用ＴＲＷ＿８ 算 法可以确定频道Ｃ是否为一个僵尸频道。ＴＲＷ算法 是一种假设检验方法，支持两个假设 一 测原型系统方案设计，该系统框架如图４所示。本系 统分为４个工作模块：预处理模块，消息响应捕获模 块，行为响应捕获模块，分析检ｉ贝０模块。 ｆ０，假设频道Ｃ是正常频道 ， 【ｚ Ｊ ／－／ ＝《 ｜／网络数／ 挺龟｜ ‘ 【１，假设频道ｃ是僵尸频道 定义 、 Ｐｒ［ ＝０ Ｉ Ｈｏ＝０］＝００ Ｐ ［ ＝１ Ｉ ｎｏ＝０］＝１一 Ｐ，［ ＝０ Ｉ Ｈｏ＝１］＝０。 Ｐ，［ ：１ Ｉ Ｈｏ＝１］＝１—０。 （３） （４） （５） （６） 其中，Ｏｏ＞０。，表示如果频道是正常频道，那么频道内 响应集不密集的概率较高。给定两个假设之后，输出 结果有４种可能：接受假设 ，但该频道是僵尸频道， 这是漏报。接受假设 ，但该频道是正常频道，这是 误报。接受假设 ，该频道是正常频道，正解。接受 假设 ，该频道是僵尸频道，正解。为保证ＴＲｗ算 法的检测性能，用误报率Ｐ，和检测率Ｐ。来进行。 用户指定参数ｏｌ和 ，算法的输出保证 ＰＦ≤ｏｌ，ＰＤ≥ （７） 随着新的响应集ｙｌ， ，…， 的加入，似然比 计算如下 ： 八（ ）ｆ八（ ）× ，Ｙｉ＝ｌ ＝？ ～ （９） Ｉ＾（ ）ｘ ０１，Ｙｉ＝０ 八（１，ｕ）＝１，ｉ＝１，２，… ，接受日。，＾（Ｙ）≥叩 算法输出＝｛接受 ，＾（’，）≤叼。 【继续下一轮，其他 （１０） 文献 指出，当阀值满足 ＝昼Ｏｌ，叼。＝时，即可保证Ｐ，≤ ，ＰＤ≥ 。 ｝ ２实验和分析 本文提出了一种基于僵尸网络异常行为特征的检 表１正常ＩＲＣ网络流检测结果 １１１ 杨奇，等：基于异常行为特征的僵尸网络检测方法研究 －１ ＝ １Ｊ １Ｊ２ １ｊ３ １Ｊ４从实验结果可以看出，本文模型对正常的ＩＲＣ网 络流检测取得了较好的效果，误报率低至０．０３％。 ２．２实验二 Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｌｏｃａｌ Ｃｏｍｐｕｔｅｒ Ｎｅｔｗｏｒｋｓ，２００６：１９５—２０２． ［６］ Ｇｏｅｂｅｌ Ｊ．Ｒｉｓｈｉ：Ｉｄｅｎｔｉｆｙ ｂｏｔ Ｃｏｎｔａｍｉｎａｔｅｄ Ｈｏｓｔｓ ｂｙ ＩＲＣ Ｎｉｃｋｎａｍｅ Ｅｖａｌｕａｔｉｏｎ［Ｃ］．Ｃａｍｂｒｉｄｇｅ，ＭＡ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＨｏｔＢｏｔｓ＇０７，Ｆｉｓｔｒ Ｗｏｒｋｓｈｏｐ ｏｎ Ｈｏｔ Ｔｏｐｉｃｓ ｉｎ Ｕｎｄｅｒ－ ｓｔａｎｄｉｎｇ Ｂｏｔｎｅｔｓ，２００７． Ｋａｒａｓａｒｉｄｉｓ Ａ，Ｒｅｘｒｏａｄ Ｂ．Ｗｉｄｅ—ｓｃａｌｅ Ｂｏｔｎｅｔ Ｄｅｔｅｃｔｉｏｎ 本实验在已经植入ｂｏｔｓ的虚拟环境下进行，对部 署好的僵尸频道进行检测。实验结果如表２。 表２僵尸频道检测结果 ａｎｄ Ｃｈａｒａｃｔｅｒｉｚａｔｉｏｎ［Ｃ］．Ｃａｍｂｒｉｄｇｅ，ＭＡ：Ｐｒｏｃｅｅｄｉｎｇｓ 实验对植入了３种常见的ｂｏｔ的ＩＲＣ僵尸频道进 行了检测，通过对其网络流的提取分析，在较短的时 间内就能检测到僵尸网络的存在，检测率为１００％。 从实验结果可以看出，模型对常见ｂｏｔ的僵尸频道也 能达到较好的检测效果。 ３ 结束语 基于异常行为特征的僵尸网络检测算法，通过对 僵尸频道中存在的异常行为进行分析，可以判别并检 测出僵尸频道的存在。 参考文献 杜跃进，崔翔．僵尸网络及其启发［Ｊ］．中国数据通信， ２００５，７（５）：９—１３． 诸葛建伟，韩心慧，周勇林，等．ＨｏｎｅｙＢｏｗ：一个基于 高交互式蜜罐技术的恶意代码自动捕获器［Ｊ］．通信学 报，２００７，２８（１２）：８—１３． Ｍａｌａｎ Ｄ Ｊ．Ｒａｐｉｄ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｂｏｔｎｅｔｓ Ｔｈｒｏｕｇｈ Ｃｏｌｌａｂｏｒａ— ｔｉｖｅ Ｎｅｔｗｏｒｋｓ ｏｆ Ｐｅｅｒｓ［Ｄ］．Ｃａｍｂｒｉｄｇｅ，Ｍａｓｓａｃｈｕｓｅｔｔｓ： Ｈａｒｖａｒｄ Ｕｎｉｖｅｒｓｉｔｙ，２００７． Ａ１一Ｈａｍｍａｄｉ Ｙ，Ａｉｃｋｅｌｉｎ Ｕ．Ｄｅｔｅｃｔｉｎｇ Ｂｏｔｎｅｔｓ Ｔｈｒｏｕｇｈ Ｌｏｇ Ｃｏｒｒｅｌａｔｉｏｎ［Ｃ］．Ｔｕｅｂｉｎｇｅｎ，Ｇｅｒｍａｎｙ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＩＥＥＥ／ＩＳＴ Ｗｏｒｋｓｈｏｐ ｏｎ Ｍｏｎｉｔｏｒｉｎｇ，Ａｔｔａｃｋ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｍｉｔｉｇａｔｉｏｎ，２００６：９７—１００． Ｓｔｒａｙｅｒ Ｗ Ｔ，Ｗａｌｓｈ．Ｄｅｔｅｃｔｉｎｇ Ｂｏｔｎｅｔｓ ｗｉｔｈ Ｔｉｇｈｔ Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ［Ｃ］．Ｔａｍｐａ，ＦＬ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ３１ｓｔ ＩＥＥＥ １１２ ｏｆ ｔｈｅ ＨｏｔＢｏｔｓ＇０７，Ｆｉｒｓｔ Ｗｏｒｋｓｈｏｐ ｏｎ Ｈｏｔ Ｔｏｐｉｃｓ ｉｎ Ｕｎｄｅｒ－ ｓｔａｎｄｉｎｇ Ｂｏｔｎｅｔｓ，２００７． ［８］ Ｇｕ Ｇ，Ｐｏｒｒａｓ Ｐ，Ｙｅｇｎｅｓｗａｒａｎ Ｖ．ＢｏｔＨｕｎｔｅｒ：Ｄｅｔｅｃｔｉｎｇ Ｍａｌｗａｒｅ Ｉｎｆｅｃｔｉｏｎ Ｔｈｒｏｕｇｈ Ｉｄｓ—ｄｒｉｖｅｎ Ｄｉｌａｏｇ Ｃｏｒｒｅｌａｔｉｏｎ ［Ｃ］．Ｂｏｓｔｏｎ，Ｍａｓｓａｃｈｕｓｅｔｔｓ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １６ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ（Ｓｅｃｕｒｉｔｙ＇０７），２００７：１６７ 一ｌ８２． ［９］ Ｇｕ Ｇ，Ｚｈａｎｇ Ｊ，Ｌｅｅ Ｗ．ＢｏｔＳｎｉｆｅｒ：Ｄｅｔｅｃｔｉｎｇ Ｂｏｔｎｅｔ Ｃｏｒｎ— ｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ Ｃｈａｎｎｅｌｓ ｉｎ Ｎｅｔｗｏｒｋ Ｔｒａｆｆｉｃ『Ｃ］．Ｓａｎ Ｄｉｅ— ｇｏ，ＣＡ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １５ Ａｎｎｕａｌ Ｎｅｔｗｏｒｋ ａｎｄ Ｄｉｓｔｒｉｂ— ｕｔｅｄ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ（ＮＤＳＳ＇０８），２００８：２６９ —２８６． ［１０］ Ｇｕ Ｇ，Ｐｅｒｄｉｓｃｔ Ｒ，Ｚｈａｎｇ Ｊ，ｅｔ ａ１．ＢｏｔＭｉｎｅｒ：Ｃｌｕｓｔｅｒｉｎｇ Ａｎａｌｙｓｉｓ ｏｆ Ｎｅｔｗｏｒｋ Ｔｒａｆｆｉｃ ｆｏｒ Ｐｒｏｔｏｃｏｌ ａｎｄ Ｓｔｒｕｃｔｕｒｅ・・ｉｎｄｅ・－ ｐｅｎｄｅｎｔ Ｂｏｔｎｅｔ Ｄｅｔｅｃｔｉｏｎ［Ｃ］．Ｓａｎ Ｊｏｓｅ，ＣＡ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １７ｔｈ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ（Ｓｅｃｕｒｉｔｙ＇０８）， ２００８：１３９—１５４． Ｒａｍａｃｈａｎｄｒａｎ Ａ，Ｆｅａｍｓｔｅｒ Ｎ，Ｖｅｍｐａｌａ Ｓ．Ｆｉｌｔｅｒｉｎｇ Ｓｐａｍ ｗｉｔｈ Ｂｅｈａｖｉｏｒａｌ Ｂｌａｃｋｌｉｓｔｉｎｇ［ｃ］．Ｉｎ Ｐｒｏｃ．ＡＣＭ Ｃｏｎｆｅｒ－ ｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ （ＣＣＳ＇０７），２００７． ［１２］ Ｚｈｕｇｅ Ｊ，Ｈｏｌｚ Ｔ，Ｈａｎ Ｘ，ｅｔ ａ１．Ｃｈａｒａｃｔｅｒｉｚｉｎｇ ｔｈｅ Ｉｒｃ・ ｂａｓｅｄ Ｂｏｔｎｅｔ Ｐｈｅｎｏｍｅｎｏｎ［Ｍ］．Ｂｅｉｊｉｎｇ：Ｐｅｋｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ ＆Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｍａｎｎｈｅｉｍ Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏ￣．２００７． ［１３］ Ｊｕｎｇ Ｊ，Ｐａｘｓｏｎ Ｖ，Ｂｅｒｇｅｒ Ａ Ｗ，ｅｔ ａ１．Ｆａｓｔ Ｐｏｒｔｓｃａｎ Ｄｅｔｅｃ— ｔｉｏｎ Ｕｓｉｎｇ Ｓｅｑｕｅｎｔｉｌａ Ｈｙｐｏｔｈｅｓｉｓ Ｔｅｓｔｉｎｇ［Ｃ］．Ｏａｋｌｎａｄ， ＣＡ：Ｉｎ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ，２００４． ［１４］ Ｗａｌｄ Ａ．Ｓｅｑｕｅｎｔｉａｌ Ｔｅｓｔｓ ｏｆ Ｓｔａｔｉｓｔｉｃａｌ Ｈｙｐｏｔｈｅｓｅｓ［Ｊ］． Ｔｈｅ Ａｎｎａｌｓ ｏｆ Ｍａｔｈｅｍａｔｉｃａｌ Ｓｔａｔｉｓｔｉｃｓ，１９４５，１６（２）：１１７ —１８６． ［１５］ Ｂａｒｆｏｒｄ Ｐ，Ｙｅｇｎｅｓｗａｒａｎ Ｖ．Ａｎ Ｉｎｓｉｄｅ Ｌｏｏｋ ａｔ Ｂｏｔｎｅｔｓ ［Ｍ］．Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ：Ｓｐｅｃｉａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｍａｌｗａｒｅ Ｄｅ— ｔｅｅｔｉｏｎ，Ａｄｖａｎｃｅｓ ｉｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ，２００６．
