基于DNS流量的惡意軟件域名挖掘.pdf

1、惡意軟件目前仍是互聯(lián)網(wǎng)的主要威脅之一,基于DNS流量檢測惡意軟件是一個(gè)與控制通信協(xié)議無關(guān)且高效的解決途徑。本文研究并提出一套基于DNS流量全面檢測各種類型惡意軟件的方法,并在校園網(wǎng)真實(shí)流量上進(jìn)行實(shí)驗(yàn)評估。
　　本文基于DNS圖挖掘的檢測算法,將DNS數(shù)據(jù)中域名與主機(jī)的關(guān)系構(gòu)建成圖模型,應(yīng)用置信傳播算法進(jìn)行節(jié)點(diǎn)聲望推斷,據(jù)此進(jìn)行惡意軟件域名、控制服務(wù)器和受害主機(jī)的檢測。本文評估了利用客戶端請求流量構(gòu)建的DNS查詢響應(yīng)圖,以及基于被動

2、DNS數(shù)據(jù)構(gòu)建的被動DNS圖,其中,基于被動DNS圖的檢測取得80.63％的檢出率,而誤報(bào)僅為0.023%,作為聲望系統(tǒng)時(shí)則可在1.20%的誤報(bào)率下達(dá)到95.66%的檢出率。
　　本文通過對DNS失效流量的測量,分析了產(chǎn)生DNS失效查詢的主要原因并作統(tǒng)計(jì)。基于DNS失效流量,本文設(shè)計(jì)了DGA域名聚類檢測算法,在人工驗(yàn)證的數(shù)據(jù)集上取得了99.82%的檢出率和0.39%的誤報(bào)率,校園網(wǎng)7天流量中則共計(jì)檢出197,026個(gè)DGA域名,查