基于模糊聚類的僵尸網(wǎng)絡反規(guī)避技術研究.pdf

1、僵尸網(wǎng)絡是由大量受控主機組成的一個攻擊平臺，攻擊者利用它可以發(fā)起分布式拒絕服務攻擊、垃圾郵件、網(wǎng)絡仿冒等各種攻擊，對網(wǎng)絡安全構成了嚴重的威脅。因此，如何準確、高效的檢測出僵尸網(wǎng)絡己成為國內外研究的熱點問題。
　　僵尸網(wǎng)絡為了躲避檢測和封堵，提高自身的生存能力采取各種規(guī)避技術，其中應用最為廣泛的是基于DNS的規(guī)避技術。目前針對DNS規(guī)避技術的僵尸網(wǎng)絡檢測方法中存在以下問題:首先每種檢測方法只針對某一種類型的僵尸網(wǎng)絡，只對指定類型的僵

2、尸網(wǎng)絡有較高的檢測效率，無法應用到實際環(huán)境的僵尸網(wǎng)絡檢測中去;其次每種檢測方法都是獨立整體，無法與其他僵尸網(wǎng)絡檢測方法進行關聯(lián)分析。對此，本文提出了一種基于模糊聚類的僵尸網(wǎng)絡反規(guī)避技術，較好地解決了目前針對DNS規(guī)避技術的僵尸網(wǎng)絡檢測方法中存在的問題。主要工作包括:
　　(1)為了有效地對基于DNS規(guī)避技術的僵尸網(wǎng)絡進行檢測，本文對僵尸網(wǎng)絡域名與正常網(wǎng)絡域名的DNS查詢特征進行對比分析，提取了22個可以明顯區(qū)別僵尸網(wǎng)絡域名與正常網(wǎng)

3、絡域名的特征，同時考慮到不同僵尸網(wǎng)絡之間特征的重疊性與高維特征在運算過程中存在的“維數(shù)災難”問題，提出了一種前向選擇與后向消除結合的特征選擇方法。該方法通過組排除和特征包含兩個部分進行特征選擇。組排除部分的目的是評估組的功能，刪除那些對整體精度貢獻最小的分組。特征包含部分分析了最差執(zhí)行組中的每個特征，逐個選擇能夠增加整體精度的單個特征。最終通過實驗選擇出檢測效率最高的13個特征。
　　(2)提出了一種基于改進模糊聚類的僵尸網(wǎng)絡反規(guī)