基于DNS數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)作為一個攻擊平臺，可以發(fā)動分布式拒絕服務(wù)攻擊、垃圾郵件、網(wǎng)絡(luò)仿冒等各種攻擊行為，已經(jīng)成為網(wǎng)絡(luò)安全最大的威脅之一，是網(wǎng)絡(luò)安全研究者目前研究的最熱點(diǎn)問題。
　　本文首先介紹了僵尸網(wǎng)絡(luò)的威脅、研究現(xiàn)狀等，然后對僵尸網(wǎng)絡(luò)的基本概念、僵尸網(wǎng)絡(luò)的生存周期、檢測方法的分類進(jìn)行了簡單的介紹，重點(diǎn)闡述了僵尸網(wǎng)絡(luò)檢測方法中的基于DNS數(shù)據(jù)流的僵尸網(wǎng)絡(luò)檢測方法。
　　本文通過對僵尸網(wǎng)絡(luò)DNS查詢特征的長期分析，提出了基于加權(quán)支持向量機(jī)的F

2、ast-flux僵尸網(wǎng)絡(luò)檢測方法，通過與Thorsten Holz的線性劃分方法對比，實(shí)驗(yàn)表明，加權(quán)支持向量機(jī)方法能明顯減少誤報率。在此基礎(chǔ)上，提出了基于含有 IP域名和DNS TXT查詢的僵尸網(wǎng)絡(luò)檢測的增強(qiáng)方法。通過僵尸網(wǎng)絡(luò)的歸并算法，可以發(fā)現(xiàn)看起來不相干的兩個僵尸網(wǎng)絡(luò)域名或 IP地址其實(shí)是屬于同一個僵尸網(wǎng)絡(luò)。利用基于含有 IP地址域名的僵尸網(wǎng)絡(luò)檢測方法，可以檢測出采用不同協(xié)議的僵尸網(wǎng)絡(luò)。針對新出現(xiàn)的采用DNS TXT查詢進(jìn)行通信的僵