基于DNS數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)作為一個(gè)攻擊平臺(tái)，可以發(fā)動(dòng)分布式拒絕服務(wù)攻擊、垃圾郵件、網(wǎng)絡(luò)仿冒等各種攻擊行為，已經(jīng)成為網(wǎng)絡(luò)安全最大的威脅之一，是網(wǎng)絡(luò)安全研究者目前研究的最熱點(diǎn)問(wèn)題。
　　本文首先介紹了僵尸網(wǎng)絡(luò)的威脅、研究現(xiàn)狀等，然后對(duì)僵尸網(wǎng)絡(luò)的基本概念、僵尸網(wǎng)絡(luò)的生存周期、檢測(cè)方法的分類進(jìn)行了簡(jiǎn)單的介紹，重點(diǎn)闡述了僵尸網(wǎng)絡(luò)檢測(cè)方法中的基于DNS數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測(cè)方法。
　　本文通過(guò)對(duì)僵尸網(wǎng)絡(luò)DNS查詢特征的長(zhǎng)期分析，提出了基于加權(quán)支持向量機(jī)的F

2、ast-flux僵尸網(wǎng)絡(luò)檢測(cè)方法，通過(guò)與Thorsten Holz的線性劃分方法對(duì)比，實(shí)驗(yàn)表明，加權(quán)支持向量機(jī)方法能明顯減少誤報(bào)率。在此基礎(chǔ)上，提出了基于含有 IP域名和DNS TXT查詢的僵尸網(wǎng)絡(luò)檢測(cè)的增強(qiáng)方法。通過(guò)僵尸網(wǎng)絡(luò)的歸并算法，可以發(fā)現(xiàn)看起來(lái)不相干的兩個(gè)僵尸網(wǎng)絡(luò)域名或 IP地址其實(shí)是屬于同一個(gè)僵尸網(wǎng)絡(luò)。利用基于含有 IP地址域名的僵尸網(wǎng)絡(luò)檢測(cè)方法，可以檢測(cè)出采用不同協(xié)議的僵尸網(wǎng)絡(luò)。針對(duì)新出現(xiàn)的采用DNS TXT查詢進(jìn)行通信的僵