Domain-flux僵尸网络域名检测

针对现有Domain-flux僵尸网络检测方法在检测范围方面的不足,提出基于域名访问活跃特征的Domain-flux僵尸网络域名检测方法。通过阐述Domain-flux僵尸网络所利用的域名集合在访问方面所表现出的时间行为特征,提出一种基于域名访问活跃特征的检测算法,给出检测算法的具体描述、检测处理流程及系统整体结构,利用某运行商DNS服务器镜像数据实验验证检测算法。实验结果显示,检测算法不依赖于具体的域名字符特征,可以有效过滤出Domain-flux僵尸网络所利用的域名。

基于加权支持向量机的Domain Flux僵尸网络域名检测方法研究

Domain Flux僵尸网络域名多用于僵尸网络的命令控制信道中,因此检测Domain Flux僵尸网络域名对僵尸网络的检测有重要意义。目前Domain Flux僵尸网络域名的检测方法存在较多的问题,如资源消耗多、检测精确率不高等。针对这些问题,文章提出了一种基于加权支持向量机的Domain Flux僵尸网络域名检测方法。通过分析Domain Flux僵尸网络域名和正常域名的区别,提取出数十种域名特征用于区分正常域名和Domain Flux僵尸网络域名;为了使每种特征发挥最大的区分效果,通过信息增益比来计算每种特征的权重值并对特征进行加权;使用支持向量机算法对加权后的特征数据集进行训练,获得检测模型。实验表明,该方法有效地提高了Domain Flux僵尸网络域名的检测准确率,可以较好的识别Domain Flux僵尸网络域名。

一种融合字词双通道的Domain-Flux僵尸网络检测方法

Domain-Flux是僵尸网络中常用的一种命令与控制信道隐蔽技术,其能有效躲避网络安全设备的检测。针对现有检测方法中对Domain-Flux域名信息提取不全面,无法有效捕获词典类域名关键分类特征的问题,提出了一种融合字词双通道的Domain-Flux僵尸网络检测方法。在字符向量和词根向量两个通道上分别采用卷积神经网络(CNN)和双向长短期记忆网络(BiLSTM)提取局部特征和全局特征,丰富输入域名的特征信息,提升分类性能。其中,字符向量通道针对随机字符域名提取局部空间特征,而词根向量通道基于TF-IDF算法,引入类内因子将词根重要性加权到词向量中,然后提取域名单词组合序列前后的时序特征。实验结果表明,与单一采用TextCNN或BiLSTM的模型相比,融合字词双通道的模型检测准确率分别提高7.12%和5.86%,针对词典类Domain-Flux的检测也具有更高的精确率。

基于多模态特征融合的Fast-Flux恶意域名检测方法

Fast-Flux恶意域名是僵尸网络通信中的一种重要载体,通过快速变换域名解析的IP抵御检测。目前,恶意域名检测系统大多基于传统机器学习模型,需要对数据进行复杂处理和特征提取,并且需要借助大量第三方数据源,导致检测的实时性较差。域名解析是一个复杂的过程,并且具有丰富的特征,文章设计了基于多模态特征融合的Fast-Flux恶意域名检测方法。首先利用GCN模块提取空间特征,采用BiLSTM模块提取域名文本特征,然后利用MLP模块提取侧信息特征,最后利用神经网络将这3种特征进行融合。在Fast-Flux-Attack-Datasets公开数据集上进行实验,实验结果表明,该方法的精确率达99.94%、召回率达99.76%、准确率达99.69%,总体效果优于当前同类方法。文章所提方法有效融合了域名解析的多模态特征,明显提升了检测效果,对于提高僵尸网络检测能力具有重要意义。

基于域名系统流量的Fast-Flux僵尸网络检测方法

在僵尸网络中,为保持服务器的可用性和隐蔽性,与域名关联的Flux-Agent的IP地址需要不停地变动,而黑名单策略对于阻止Fast-Flux僵尸网络攻击已经失效。为解决该问题,基于域名系统流量的分析和识别技术,提出一种新的Fast-Flux僵尸网络检测方法,用于检测互联网中使用Fast-Flux技术的僵尸网络,且对域名的分析不局限于来自垃圾邮件、点击欺诈或黑名单列表的可疑域名。实验结果表明,该方法能够以较高的准确率检测Fast-Flux僵尸网络,并且有利于完善黑名单列表。

基于被动DNS流量的Fast⁃Flux域名检测方法

近年来,速变域名(Fast⁃Flux)技术已成为在速变服务网络(Fast⁃Flux Service Network,FFSN)中组建僵尸网络的常见做法,这些FFSN能够以非常高的可用性维持非法在线服务。文中基于FFSN工作原理以及速变域名技术特点,提出了一系列检测特征,设计了一种基于被动DNS流量的Fast⁃Flux域名检测方法。利用DNS协议、黑白名单、DNS流量实时特征对流量数据进行过滤,采用基于信息增益率和基尼系数线性组合的随机森林算法作为模型训练算法,然后用实验数据集和现网真实数据集对所提的方法进行验证。实验结果证明,该方法能够有效识别出Fast⁃Flux域名,并且具有较高的精确率。

基于Fast-Flux的DNS异常行为分析

研究基于Fast-Flux域名系统(DNS)报文的异常行为,并分析僵尸网络的工作特点,依据大量DNS报文的数据,了解Fast-Flux的攻击特性,找到Fast-Flux攻击的具体特征,识别出DNS流量中的异常数据。通过对DNS数据的综合分析,区分Fast-Flux和频繁更换IP的大型网站,给出Fast-Flux报文存活时间较短、时间差分布平均、请求频繁、IP池等特征,并提出一种报文筛选的算法。分析结果证明,与传统僵尸网络检测方法相比,在报文正确率相同的情况下,该算法实现更加简单,可以准确形容Fast-Flux的攻击行为。

基于组行为特征的恶意域名检测

目前,僵尸网络广泛采用域名变换技术,以避免域名黑名单的封堵,为此提出一种基于组行为特征的恶意域名检测方法。该方法对每个检测周期内网络中主机请求的新域名集合、失效域名集合进行聚类分析,并将请求同一组新域名的主机集合作为检测对象,通过分析集合内主机在请求失效域名、新域名行为上是否具有组特性,提取出网络中的感染主机集合、C&C服务器使用的IP地址集合。对一ISP域名服务器监测的结果表明,该方法可准确提取出感染主机、C&C服务器IP地址。

域名请求行为特征与构成特征相结合的域名变换检测

针对僵尸网络为避免域名黑名单封堵而广泛采用域名变换技术的问题,提出一种域名请求行为特征与域名构成特征相结合的僵尸网络检测方法。该方法通过支持向量机(SVM)分类器对网络中主机解析失败的域名进行分析,提取出可疑感染主机;通过新域名聚类分析,将请求同一组新域名的主机集合作为检测对象,分析请求主机集合是否由可疑感染主机构成,提取出僵尸网络当前使用的域名集合以及命令与控制(Command and Control,C&C)服务器使用的IP地址集合。实验结果表明:训练后SVM分类器可达98.5%以上的准确率;经对ISP域名服务器监测,系统可准确提取出感染主机和C&C服务器的IP地址。

基于域名的僵尸网络行为分析

域名系统作为互联网中最大的分布式系统,是连接用户和互联网的桥梁。但由于其自身协议的缺陷,不但出现了许多针对域名的恶意攻击行为,而且大量恶意行为还利用域名系统提高自身的生命力,如僵尸网络、网络钓鱼、垃圾邮件等。文章介绍了僵尸网络的内涵和域名流量数据特征,分析了基于域名系统的Fast-Flux和Domain-Flux网络工作方式和基本特征,并总结了目前效率比较高的Flux僵尸网络的检测算法。

算法生成恶意域名的实时检测

当前对算法生成域名技术的检测,检测所用时间周期过长,无法对算法生成的恶意域名进行快速检测。针对此问题,本文基于新增域名与已分类恶意域名之间的关联关系,提出一种算法生成域名的实时检测方法,并在某省运营商DNS服务器机房部署本系统,实验验证本检测方法。实验表明与已有方法相比,本方法能够快速筛选用于恶意网络行为的算法生成域名。但本方法需要消耗大量的计算资源和内存资源,需要在后续的工作中研究解决。