DNS異常行為檢測的研究.pdf

1、DNS是重要的網(wǎng)絡(luò)設(shè)備之一，由于DNS故障導(dǎo)致的“暴風斷網(wǎng)”、“百度被黑”等事件的發(fā)生影響了用戶對于網(wǎng)絡(luò)的正常使用。與此同時，利用Fast-Flux技術(shù)構(gòu)造的僵尸網(wǎng)絡(luò)以及利用DNS進行隱藏數(shù)據(jù)的傳輸使得DNS成為網(wǎng)絡(luò)犯罪和逃避網(wǎng)絡(luò)監(jiān)管行為的最要幫手。實現(xiàn)對上述網(wǎng)絡(luò)異常行為的檢測對于保證網(wǎng)絡(luò)的正常使用以及凈化網(wǎng)絡(luò)環(huán)境有著重要的意義。
　　本文的主要任務(wù)是為CHARIS系統(tǒng)設(shè)計并實現(xiàn)DNS異常行為檢測模塊，實現(xiàn)對域名訪問異常，DNS隱

2、藏通信以及Fast-Flux域名的檢測。
　　對于域名訪問異常的檢測，本文首先提出了域名依賴性的概念用以描述域名對用戶的重要程度。設(shè)計了以域名被訪問的用戶IP數(shù)為特征，k-means聚類算法為核心的域名依賴性判定算法；同時利用歷史域名依賴性數(shù)據(jù)設(shè)計出熱點域名判定算法；最后結(jié)合當前檢測周期的域名依賴性分布情況以及熱點域名列表設(shè)計出依賴性異常檢測算法檢測出存在訪問異常的域名。
　　對于DNS隱藏通信的檢測，本文首先提出將隱藏信道

3、分為基于域名的DNS隱藏信道以及基于服務(wù)的DNS隱藏信道。設(shè)計了合法DNS報文的檢測算法。對于基于服務(wù)的DNS隱藏信道提出通道流量的統(tǒng)計算法；對于基于域名的DNS隱藏信道，提出了基于機器學(xué)習的檢測算法，該算法選擇多個報文連接特征為檢測測度，使用C4.5決策樹分類器實現(xiàn)對隱藏信道的檢測。
　　對于Fast-Flux域名的檢測，本文提出了使用域名對應(yīng)IP數(shù)，TTL值等5個屬性作為Fast-Flux域名的檢測特征，使用C4.5決策樹作為