Domain-flux僵尸网络域名检测

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

２１年８０２月第３卷第８３期
计算机工程与设计
ＣＯＭＰＵＴＥＲＥＮＧＩＮＥＥＲＩＮＧＡＮＤＤＥＳＧＮＩ
Ａｕ．０２ｇ２１
Ｖｏ．３Ｎｏ８１３．
Ｄｍａｎｆｘ僵尸网络域名检测ｏｉ—ｌｕ
李青山，陈钟
（北京大学网络与软件安全保障教育部重点实验室，北京１０８）００７
ｏｄｍａｗｏｈｌｅｃａａｔｒｓｉｓｏｏａｎｎｍｅｓｐｏｏｅ．Ｔｈｅｅｔｎｄｓｒｐｉｎｉｌｘｂｔｅｅｅｔｔｏａｅｎｔｅａｉｈｒｃｅｉｔｆｄｍｉａｓｉｒｐｓｄｏｖｃｅｄｔｃｉｅｃｉｔ，ｏｏ
ｓｇｅｏｖｌａｅｔｅｅｆｃｉｅｅｓｏｈｓｄｔｃｉｎｍｅｈｄＴｈｅｕｔｓｏｈｔｔｅｍｅｈｄｐｏｏｅｏｎｔｒｌｎｓｅｉｃｉｎｄｔａｉｔｈｆｅｔｎｓｆｔｉｅｅｔｔｏ．ｄｖｏｅｒｓｌｈｗｓｔａｈｔｏｒｐｓｄｄｏｅｙｏｐｃｆｉａｐａｕｒｈｒｃｅｉｔｓｏｏｉａｓｌｈｎｍｅｉｃａａｔｒｉｆｄｍａｎｎｍｅ，ａｄｃｕｄｆｄｄｍａｎｎｍｅｆｉｉｎｌｓｄｂｏｉ－ｕｏｎｔｃｓｃｎｏｌｉｏｉａｓｅｆｅｔｕｅｙｄｍａｎｆｘｂｔｅ．ｎｃｙｌＫｅｒｓｄｍａｎｎｍｅｙｗｏｄ：ｏｉａ；ＤＮＳ；ｄｍａｎｄｔｃｉｎ；ｄｍａｎｆｕ；ｂｔｅｏｉｅｅｔｏｏｉｌｘｏｎｔ
ｄｔｃｉｎｆｗｎｙｔｍｔｕｔｒｒｎｒｄｃｄＡｎｅｐｒｅｔｕｉｇｔｅｍｉｒｒｄｓｔａｆｒｍｎｓｒｉｅｐｏｉｅｓｄｅｅｔｌａｄｓｓｅｓｒｃｕｅａｅｉｔｏｕｅ．ｏｏｘｅｉｎｓｈｒｏｎｒｆｉｆｏａｅｖｃｒｖｄｒｉｅｍｎｃ
摘要：针对现有Ｄｍａｎｆｘ尸网络检测方法在检测范围方面的不足，提出基于域名访问活跃特征的Ｄｍａ－ｌｘ僵尸ｏｉ－ｌ僵ｕｏｉｆｎｕ网络域名检测方法。通过阐述Ｄｍａｎｆｘ僵尸网络所利用的域名集合在访问方面所表现出的时间行为特征，提出一种基ｏｉｌ－ｕ于域名访问活跃特征的检测算法，给出检测算法的具体描述、检测处理流程及系统整体结构，利用某运行商ＤＮＳ服务器镜像数据实验验证检测算法。实验结果显示，检测算法不依赖于具体的域名字符特征，可以有效过滤出Ｄｍａ－ｕ僵尸网ｏｉｆｘｎｌ
络所利用的域名。关键词：域名；域名系统；域名检测；域名变换；僵尸网络
中图法分类号：３３文献标识号：Ａ文章编号：１０ —０４（０２０ —９５０ＴＰ９００７２２１）８２１—５
ＤｅｅｔｏｆＤｏｉ —ｌｘｂｔｅｏｉａｅｔｃｉｎｏｍａｎｆｕｏｎｔｄｍａｎｎｍｓ
ＬＩＱｉｇｓａｎ — ｈｎ，ＣＨＥＮｈｎＺｏｇ
（ｙＬａｏａｏｙｏｔｒｎｏｔｒｅｕｉｓｒｎｅＭｉｉｔｙｏｕａｉｎ，ＰｅｉｇＵｎｖｒｉｙＫｅｂｒｔｒｆＮｅｗｏｋａｄＳｆｗａｅＳｃｒｔＡｓｕａｃ，ｙｎｓｒｆＥｄｃｔｏｋｎｉｅｓｔ，
０引言
域名系统（ｏｉｎｍｅｓｓｅｄｍａｎａｙｔｍ，Ｄ）作为重要的互ＮＳ联网业务基础设施，主要用于完成从域名到Ｉ址的翻译Ｐ地
Ｂｒｎ００７Ｃｉａｅｉ１０８，ｈｎ）ｇ
ＡｂｔａｔＡｉｄａｈｈｒａｅｏｕｒｎｅｅｔｎｍｅｈｄｆｄｍａｗｆｕｏｎｔｔｏａｅｎｔｅａｉｅｃａａｔｒｏｓｒｃ：ｍｅｔｔｅｓｏｔｇｆｃｒｅｔｄｔｃｉｔｏｓｏｏｉｌｘｂｔｅ，ａｍｅｈｄｂｓｄｏｈｌｈｒｃｅｆｏｖｄｍａｎｎｍｅｉｐｏｏｅ．Ｔｈｅｃｉｔｎｏｏｉｓａｉｅｃａａｔｒｉｇｖｎｗｈｃｒｅｅａｅｙｄｍａｎｆｕｏｎｔｎｎｏｉａｓｒｐｓｄｅｄｓｒｉｆｄｍａｎｌｈｒｃｅｉｅｉｈａｅｇｎｒｔｄｂｏｉ－ｌｘｂｔｅ，ａｄａｐｏｖｓ