基于模糊聚類的僵尸網(wǎng)絡(luò)反規(guī)避技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)是由大量受控主機組成的一個攻擊平臺，攻擊者利用它可以發(fā)起分布式拒絕服務(wù)攻擊、垃圾郵件、網(wǎng)絡(luò)仿冒等各種攻擊，對網(wǎng)絡(luò)安全構(gòu)成了嚴重的威脅。因此，如何準確、高效的檢測出僵尸網(wǎng)絡(luò)己成為國內(nèi)外研究的熱點問題。
　　僵尸網(wǎng)絡(luò)為了躲避檢測和封堵，提高自身的生存能力采取各種規(guī)避技術(shù)，其中應(yīng)用最為廣泛的是基于DNS的規(guī)避技術(shù)。目前針對DNS規(guī)避技術(shù)的僵尸網(wǎng)絡(luò)檢測方法中存在以下問題:首先每種檢測方法只針對某一種類型的僵尸網(wǎng)絡(luò)，只對指定類型的僵

2、尸網(wǎng)絡(luò)有較高的檢測效率，無法應(yīng)用到實際環(huán)境的僵尸網(wǎng)絡(luò)檢測中去;其次每種檢測方法都是獨立整體，無法與其他僵尸網(wǎng)絡(luò)檢測方法進行關(guān)聯(lián)分析。對此，本文提出了一種基于模糊聚類的僵尸網(wǎng)絡(luò)反規(guī)避技術(shù)，較好地解決了目前針對DNS規(guī)避技術(shù)的僵尸網(wǎng)絡(luò)檢測方法中存在的問題。主要工作包括:
　　(1)為了有效地對基于DNS規(guī)避技術(shù)的僵尸網(wǎng)絡(luò)進行檢測，本文對僵尸網(wǎng)絡(luò)域名與正常網(wǎng)絡(luò)域名的DNS查詢特征進行對比分析，提取了22個可以明顯區(qū)別僵尸網(wǎng)絡(luò)域名與正常網(wǎng)

3、絡(luò)域名的特征，同時考慮到不同僵尸網(wǎng)絡(luò)之間特征的重疊性與高維特征在運算過程中存在的“維數(shù)災(zāi)難”問題，提出了一種前向選擇與后向消除結(jié)合的特征選擇方法。該方法通過組排除和特征包含兩個部分進行特征選擇。組排除部分的目的是評估組的功能，刪除那些對整體精度貢獻最小的分組。特征包含部分分析了最差執(zhí)行組中的每個特征，逐個選擇能夠增加整體精度的單個特征。最終通過實驗選擇出檢測效率最高的13個特征。
　　(2)提出了一種基于改進模糊聚類的僵尸網(wǎng)絡(luò)反規(guī)