CN110177123B - 基于dns映射关联图的僵尸网络检测方法 - Google Patents

基于dns映射关联图的僵尸网络检测方法 Download PDF

Info

Publication number
CN110177123B
CN110177123B CN201910534665.3A CN201910534665A CN110177123B CN 110177123 B CN110177123 B CN 110177123B CN 201910534665 A CN201910534665 A CN 201910534665A CN 110177123 B CN110177123 B CN 110177123B
Authority
CN
China
Prior art keywords
domain name
graph
flow
nodes
node
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910534665.3A
Other languages
English (en)
Other versions
CN110177123A (zh
Inventor
张小松
牛伟纳
熊智鹏
谢鑫
蒋天宇
葛洪麟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
University of Electronic Science and Technology of China
Original Assignee
University of Electronic Science and Technology of China
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by University of Electronic Science and Technology of China filed Critical University of Electronic Science and Technology of China
Priority to CN201910534665.3A priority Critical patent/CN110177123B/zh
Publication of CN110177123A publication Critical patent/CN110177123A/zh
Application granted granted Critical
Publication of CN110177123B publication Critical patent/CN110177123B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及基于DNS映射关联图的僵尸网络检测方法，包括：A.过滤DNS流量和包含A记录的响应数据包流量，对该过滤后的响应数据包流量预处理；B.对预处理后的响应数据包流量分别以全域名和IP为关键字提取关联映射关系，分别构建以全域名和IP为中心节点的二部图组件集，并合并每个二部图组件集里的图组件；C.分析所述二部图集中的元素，提取图特征向量；D.将已公开的Fast‑flux与Domain‑flux僵尸网络集作为数据输入，执行步骤A～步骤C，根据提取的图特征向量，将数据划分训练集与测试集，使用LightGBM算法，得到分类模型；E.应用分类模型完成待测流量的僵尸网络检测。本发明能够同时对Fast‑flux与Domain‑flux两种僵尸网络进行检测，并且具有较高的检测准确率。

Description

基于DNS映射关联图的僵尸网络检测方法
技术领域
本发明涉及网络安全的检测方法，具体讲是基于DNS映射关联图的僵尸网络检测方法。
背景技术
僵尸网络是在传统的计算机病毒、特洛伊木马、网络蠕虫、间谍软件等恶意代码基础上发展而来的一种综合性攻击方法的平台。近些年，新型的僵尸网络程序还能够将0DAY漏洞、网络钓鱼、p2p等技术应用到其传播中，能够使得传统主机、移动设备甚至云设备、路由器感染而成为僵尸网络控制的主机，俗称“肉鸡”。而僵尸网络仍然是当前互联网重大威胁之一，再加上其不断变化发展。对僵尸网络的检测成为了安全领域人员一直以来的重大挑战。
DNS是域名***(Domain Name System)的缩写，它是现在互联网***中的一项重要服务，也是一个能够将域名与IP地址关联映射的分布式数据库，类似与电话簿，记录域名与IP地址的对应关系。
Fast-flux技术是指域名和IP地址之间的关联关系会不断发生变化的一种技术，使用Fast-flux技术部署的网络简称为FFSN(Fast-flux Service Network)，FFSN通过不断改变DNS记录，能够为一个合法域名分配多个(甚至上千)IP地址，保证了域名的较高可用性。
Domain-flux则是指僵尸网络的控制者动态改变域名从而逃避检测。这其中的关键就是域名生成算法(DGA)，它利用种子随机生成大量的域名，然后僵尸主机逐个发起DNS请求尝试通信连接，而这其中只有部分请求才会被响应。攻击者与受控主机的通信节点也是动态变化，能够很好的逃避检测。
发明内容
本发明提供了一种基于DNS映射关联图的僵尸网络检测方法，针对Fast-flux与Domain-flux两种僵尸网络的检测，具有较高的检测准确率。
本发明基于DNS映射关联图的僵尸网络检测方法，包括：
A.DNS流量过滤与预处理：根据待测网络出口处设备的流量镜像，按照预定的规则过滤DNS流量，再过滤包含A记录(A(Address)记录是用来指定主机名(或域名)对应的IP地址记录)的响应数据包流量，然后对该过滤后的响应数据包流量进行预处理；
B.图映射关联处理：对预处理后的响应数据包流量，根据DNS查询响应，分别以全域名(FQDN，Fully Qualified Domain Name)和IP为关键字(key)，提取其中的关联映射关系，分别构建以全域名和IP为中心节点的二部图组件集，并对每个二部图组件集里的图组件分别进行合并；
C.图组件特征分析与提取：分析所述二部图组件集中的元素，结合预处理得到的信息，提取图特征向量；
D.图组件分类：将已公开的Fast-flux与Domain-flux僵尸网络集作为数据输入，执行步骤A～步骤C，根据提取的图特征向量，完成数据的标准化，将所述标准化后的数据划分训练集与测试集，使用LightGBM算法，得到分类模型；LightGBM是一种快速、高性能、分布式的优秀梯度提升框架，它是由微软在2017年开源，可用于排序、分类、回归等机器学习任务。它是基于决策树算法，采用最优的叶明智策略***叶子节点，在不降低准确率的前提下，相比主流的分类算法速度提升了10倍左右，占用的内存反而下降了3倍左右。
E.将待测流量的信息输入到分类模型中，通过分类模型计算出该待测流量是否为恶意流量，如果计算出待测流量为恶意流量，则通过分类模型计算得出恶意流量的类别(Fast-flux或Domain-flux僵尸网络)。
经测试，本发明的方法能够同时覆盖Fast-flux与Domain-flux两种类型僵尸网络的检测，并且具备较高的检测准确率。
进一步的，步骤A所述的预处理包括根据全域名和IP的白名单对A记录的响应数据包流量进行二次过滤，并以流量的时间戳为ID，提取A记录中每条记录的多个字段信息，包括时间戳、源MAC地址、目的MAC地址、源IP、目的IP、TTL数值、源端口和目的端口等。
进一步的，步骤B中对二部图组件集里的图组件进行合并时，对以全域名为中心的二部图组件集和以IP为中心节点的二部图组件集分别采用各自对应的方式进行图组件的合并。
具体的，对以全域名为中心节点的图组件进行合并时，先根据全域名的分层特性，计算相似域名之间的差异度DD，然后采用k均值聚类算法合并相似的两个图组件，其中计算相似域名之间的差异度DD为：
Figure GDA0002500012170000021
Figure GDA0002500012170000022
Figure GDA0002500012170000023
Figure GDA0002500012170000024
其中，ωλ为域名差异度计算的一个中间值，λ为域名的层级，X和Y分别表示一个全域名，Xλ表示全域名X的第λ层，Yλ表示全域名Y的第λ层，例如全域名www.***.com，第一层为com，|Xλ|表示Xλ的长度，|Yλ|表示Yλ的长度，|X|表示X的层级数，|Y|表示Y的层级数，α是预设参数，初始化α为2。α的作用为平衡权重，初始值为经验值，后续可进行优化调整。ddλ和Ω分别为计算过程的中间值。
具体的，对以IP为中心节点的图组件进行合并时，以该中心节点邻近的IP地址提供类似的服务为条件，并在满足特定时间跨度的条件下，计算这两个IP的相似度IS，达到阈值则合并该相似的图组件；所述的时间跨度指的是实际实施中数据处理的时间间隔，通常初始值为12小时，其中计算两个IP的相似度IS为：
Figure GDA0002500012170000031
在上式中，X表示图组件中心节点的IP地址，Y表示所述邻近的IP地址，Xm表示X的数值，Ym表示Y的数值，Xt表示X的时间戳，Yt表示Y的时间戳，α和β分别表示预设参数，初始值分别为1.8和0.2，λ表示两个IP地址的类别差值，例如A类IP地址与B类IP地址的类别差值为1，A类IP与C类IP的类别差值为2。
在此基础上，步骤C中所述的图组件特征分析包括：
C1.分析图组件的结构特征：计算图组件中的节点数量，包括全域名节点与IP节点，计算所有中心节点的最大度数和平均度数；
C2.分析全域名节点特征：以步骤A的流量预处理后的信息，根据Whois数据库的公开数据，计算全域名的Whois信息；Whois信息是域名和IP的***息，表明其基本的相关信息。
C3.分析IP节点特征：以步骤A的流量预处理后的信息，根据Whois数据库的公开数据，计算IP节点的Whois信息；
C4.分析连接边特征：图组件中节点与节点之间通过连接边连接，一条连接边即为一次DNS查询响应，选取连接边中包括其平均值与方差值的TTL信息(Time To Live，该字段指定IP包被路由器丢弃之前允许通过的最大网段数量)作为连接边特征；
C5.计算黑名单特征：黑名单包括全域名黑名单与IP黑名单，分析图组件的黑名单特征时，结合已公开的黑名单库，计算图组件的全域名标记的数量，二级域名+顶级域名(2-LD+TLD)被标记的数量，全域名节点被标记的最大度数，被标记的IP节点的数量，IP节点被标记的最大度数，被标记节点占总节点的比值。
进一步的，步骤C2中所述的全域名的Whois信息，包括全域名的创建时间、更新次数、完整度、全域名的最大层数、平局层数、顶级域名(TLD)种类数量、二级域名(2-LD)种类数量，以及二级域名(2-LD)字符的最大长度、平均长度、包含单词数量和字符重复度。
进一步的，步骤C3中所述的IP节点的Whois信息，包括IP节点的状态、更新时间、所属国家、节点IP的自治***号码(ASN)数量、以及自治***号码(ASN)的数量与IP的比值。
本发明基于DNS映射关联图的僵尸网络检测方法，有益效果包括：
1、能够同时覆盖对Fast-flux与Domain-flux两种僵尸网络的检测。
2、针对DNS流量过滤A记录的响应包流量，极大较少后续处理的数据量。
3、通过构建以全域名与IP为中心节点的二部图集，提供了一种新的DNS流量处理思路。
4、对全域名与IP分别进行不同算法的合并，极大减少了图组件数据集，同时也更好符合Fast-flux与Domain-flux的技术特性。
5、通过对DNS映射关联图的特征分析，大幅度提高了僵尸网络检测的准确度，同时还能够适用于高速网络的海量数据的处理。
以下结合实施例的具体实施方式，对本发明的上述内容再作进一步的详细说明。但不应将此理解为本发明上述主题的范围仅限于以下的实例。在不脱离本发明上述技术思想情况下，根据本领域普通技术知识和惯用手段做出的各种替换或变更，均应包括在本发明的范围内。
附图说明
图1为本发明基于DNS映射关联图的僵尸网络检测方法的流程图。
具体实施方式
本实施例采用基于Linux的发行版操作***CentOS***，版本号为7.6.1810。
如图1所示本发明基于DNS映射关联图的僵尸网络检测方法，包括：
A.DNS流量过滤与预处理：待测网络出口处的设备，包括交换机、路由器等，通过配置端口镜像，将流量导入特定的服务器网口，并在该服务器上安装PF_RING包，如果数据量较大，还可以采用PF_RING+Zero Copy的方式，实现10Gbps级别的流量采集，根据BPF(柏克莱封包过滤器，Berkeley Packet Filter)规则过滤DNS流量，再过滤包含A记录(A(Address)记录是用来指定主机名(或域名)对应的IP地址记录)的响应数据包流量。
然后对该过滤后的响应数据包流量进行预处理，包括根据全域名和IP的白名单对A记录的响应数据包流量进行二次过滤，并以流量的时间戳为ID，提取A记录中每条记录的多个字段信息，包括时间戳、源MAC地址、目的MAC地址、源IP、目的IP、TTL数值、源端口和目的端口等。
B.图映射关联处理：对预处理后的响应数据包流量，根据DNS查询响应，分别以全域名(FQDN，Fully Qualified Domain Name)和IP为关键字(key)，提取其中的关联映射关系，分别构建以全域名和IP为中心节点的二部图组件集，并对全域名为中心的二部图组件集和IP为中心节点的二部图组件集分别采用各自对应的方式进行图组件的合并。
其中，对以全域名为中心节点的图组件进行合并时，先根据全域名的分层特性，计算相似域名之间的差异度DD，然后采用k均值聚类算法合并相似的两个图组件，其中计算相似域名之间的差异度DD为：
Figure GDA0002500012170000051
Figure GDA0002500012170000052
Figure GDA0002500012170000053
Figure GDA0002500012170000054
其中，ωλ为域名差异度计算的一个中间值，λ为域名的层级，X和Y分别表示一个全域名，Xλ表示全域名X的第λ层，Yλ表示全域名Y的第λ层，|Xλ|表示Xλ的长度，|Yλ|表示Yλ的长度，|X|表示X的层级数，|Y|表示Y的层级数，α是预设参数，初始化α为2。α的作用为平衡权重，初始值为经验值，后续可进行优化调整。ddλ和Ω分别为计算过程的中间值。
对以IP为中心节点的图组件进行合并时，以该中心节点邻近的IP地址提供类似的服务为条件，并在满足特定时间跨度的条件下，计算这两个IP的相似度IS，达到阈值则合并该相似的图组件；所述的时间跨度指的是实际实施中数据处理的时间间隔，通常初始值为12小时，其中计算两个IP的相似度IS为：
Figure GDA0002500012170000055
在上式中，X表示图组件中心节点的IP地址，Y表示所述邻近的IP地址，Xm表示X的数值，Ym表示Y的数值，Xt表示X的时间戳，Yt表示Y的时间戳，α和β分别表示预设参数，初始值分别为1.8和0.2，λ表示两个IP地址的类别差值，例如A类与B类差值为1。
C.图组件特征分析与提取：分析所述二部图组件集中的元素，结合预处理得到的信息，提取图特征向量。其中所述的图组件特征分析包括：
C1.分析图组件的结构特征：计算图组件中的节点数量，包括全域名节点与IP节点，计算所有中心节点的最大度数和平均度数；
C2.分析全域名节点特征：以步骤A的流量预处理后的信息，根据Whois数据库的公开数据，计算全域名的Whois信息，包括全域名的创建时间、更新次数、完整度、全域名的最大层数、平局层数、TLD(顶级域名)种类数量、2-LD(二级域名)种类数量，以及2-LD(二级域名)字符的最大长度、平均长度、包含单词数量和字符重复度等；
C3.分析IP节点特征：以步骤A的流量预处理后的信息，根据Whois数据库的公开数据，计算IP节点的Whois信息，包括IP节点的完整状态、更新时间、所属国家、所属个人、所属地区、节点IP的ASN(自治***号码)数量、以及ASN(自治***号码)数量与IP的比值等；
C4.分析连接边特征：图组件中节点与节点之间通过连接边连接，一条连接边即为一次DNS查询响应，选取连接边中包括其平均值与方差值的TTL信息(Time To Live，该字段指定IP包被路由器丢弃之前允许通过的最大网段数量)作为连接边特征；
C5.计算黑名单特征：黑名单包括全域名黑名单与IP黑名单，分析图组件的黑名单特征时，结合已公开的黑名单库，计算图组件的全域名标记的数量，2-LD+TLD(二级域名+顶级域名)被标记的数量，全域名节点被标记的最大度数，被标记的IP节点的数量，IP节点被标记的最大度数，被标记节点占总节点的比值。
D.图组件分类：将已公开的Fast-flux与Domain-flux僵尸网络集作为数据输入，在实验室环境下通过TCPReplay的流量重放，构建包含真实流量的混合数据集。其中Fast-flux公开数据集为CTU-13中的纯Fast-flux恶意流量以及ISOT中Strom、Waledoc及Zeus僵尸网络的样本流量。Domain-flux公开数据集为Alenazi A等人构建的ISOT HTTP Botnet数据集。执行步骤A～步骤C，根据提取的图特征向量，完成数据的标准化，将所述标准化后的数据划分训练集与测试集，使用LightGBM算法，得到分类模型。
E.将待测流量的信息输入到分类模型中，通过分类模型计算出该待测流量是否为恶意流量，如果计算出待测流量为恶意流量，则通过分类模型计算得出恶意流量的类别，是Fast-flux或Domain-flux僵尸网络。

Claims (7)

1.基于DNS映射关联图的僵尸网络检测方法，其特征包括：
A.DNS流量过滤与预处理：根据待测网络出口处设备的流量镜像，按照预定的规则过滤DNS流量，再过滤包含A记录的响应数据包流量，然后对该过滤后的响应数据包流量进行预处理；
B.图映射关联处理：对预处理后的响应数据包流量，根据DNS查询响应，分别以全域名和IP为关键字，提取其中的关联映射关系，分别构建以全域名和IP为中心节点的二部图组件集，并对每个二部图组件集里的图组件分别进行合并；
C.图组件特征分析与提取：分析所述二部图组件集中的元素，结合预处理得到的信息，提取图特征向量；所述分析包括：
C1.分析图组件的结构特征：计算图组件中的节点数量，包括全域名节点与IP节点，计算所有中心节点的最大度数和平均度数；
C2.分析全域名节点特征：以步骤A的流量预处理后的信息，根据Whois数据库的公开数据，计算全域名的Whois信息；
C3.分析IP节点特征：以步骤A的流量预处理后的信息，根据Whois数据库的公开数据，计算IP节点的Whois信息；
C4.分析连接边特征：图组件中节点与节点之间通过连接边连接，一条连接边即为一次DNS查询响应，选取连接边中包括其平均值与方差值的TTL信息作为连接边特征；
C5.计算黑名单特征：黑名单包括全域名黑名单与IP黑名单，分析图组件的黑名单特征时，结合已公开的黑名单库，计算图组件的全域名标记的数量，二级域名+顶级域名被标记的数量，全域名节点被标记的最大度数，被标记的IP节点的数量，IP节点被标记的最大度数，被标记节点占总节点的比值；
D.图组件分类：将已公开的Fast-flux与Domain-flux僵尸网络集作为数据输入，执行步骤A～步骤C，根据提取的图特征向量，完成数据的标准化，分训练集与测试集，使用LightGBM算法，得到分类模型；
E.将待测流量的信息输入到分类模型中，通过分类模型计算出该待测流量是否为恶意流量，如果计算出待测流量为恶意流量，则通过分类模型计算得出恶意流量的类别。
2.如权利要求1所述的基于DNS映射关联图的僵尸网络检测方法，其特征为：步骤A所述的预处理包括根据全域名和IP的白名单对A记录的响应数据包流量进行二次过滤，并以流量的时间戳为ID，提取A记录中每条记录的多个字段信息。
3.如权利要求1所述的基于DNS映射关联图的僵尸网络检测方法，其特征为：步骤B 中对二部图组件集里的图组件进行合并时，对以全域名为中心的二部图组件集和以IP为中心节点的二部图组件集分别采用各自对应的方式进行图组件的合并。
4.如权利要求3所述的基于DNS映射关联图的僵尸网络检测方法，其特征为：对以全域名为中心节点的图组件进行合并时，先根据全域名的分层特性，计算相似域名之间的差异度DD，然后采用k均值聚类算法合并相似的两个图组件，其中计算相似域名之间的差异度DD为：
Figure FDA0002500012160000021
Figure FDA0002500012160000022
Figure FDA0002500012160000023
Figure FDA0002500012160000024
其中，ωλ为域名差异度计算的一个中间值，λ为域名的层级，X和Y分别表示一个全域名，Xλ表示全域名X的第λ层，Yλ表示全域名Y的第λ层，|Xλ|表示Xλ的长度，|Yλ|表示Yλ的长度，|X|表示X的层级数，|Y|表示Y的层级数，α是预设参数，初始化α为2，ddλ和Ω分别为计算过程的中间值。
5.如权利要求3所述的基于DNS映射关联图的僵尸网络检测方法，其特征为：对以IP为中心节点的图组件进行合并时，以该中心节点邻近的IP地址提供类似的服务为条件，并在满足特定时间跨度的条件下，计算这两个IP的相似度IS，达到阈值则合并该相似的图组件；其中计算两个IP的相似度IS为：
Figure FDA0002500012160000025
在上式中，X表示图组件中心节点的IP地址，Y表示所述邻近的IP地址，Xm表示X的数值，Ym表示Y的数值，Xt表示X的时间戳，Yt表示Y的时间戳，α和β分别表示预设参数，λ表示两个IP地址的类别差值。
6.如权利要求1所述的基于DNS映射关联图的僵尸网络检测方法，其特征为：步骤C2中所述的全域名的Whois信息，包括全域名的创建时间、更新次数、完整度、全域名的最大层数、平局层数、顶级域名种类数量、二级域名种类数量，以及二级域名字符的最大长度、平均长度、包含单词数量和字符重复度。
7.如权利要求1所述的基于DNS映射关联图的僵尸网络检测方法，其特征为：步骤C3中所述的IP节点的Whois信息，包括IP节点的状态、更新时间、所属国家、节点IP的自治***号码数量、以及自治***号码的数量与IP的比值。
CN201910534665.3A 2019-06-20 2019-06-20 基于dns映射关联图的僵尸网络检测方法 Active CN110177123B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910534665.3A CN110177123B (zh) 2019-06-20 2019-06-20 基于dns映射关联图的僵尸网络检测方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910534665.3A CN110177123B (zh) 2019-06-20 2019-06-20 基于dns映射关联图的僵尸网络检测方法

Publications (2)

Publication Number Publication Date
CN110177123A CN110177123A (zh) 2019-08-27
CN110177123B true CN110177123B (zh) 2020-09-18

Family

ID=67698615

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910534665.3A Active CN110177123B (zh) 2019-06-20 2019-06-20 基于dns映射关联图的僵尸网络检测方法

Country Status (1)

Country Link
CN (1) CN110177123B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110598774B (zh) * 2019-09-03 2023-04-07 中电长城网际安全技术研究院(北京)有限公司 加密流量检测方法及装置、计算机可读存储介质、电子设备
CN113381962B (zh) * 2020-02-25 2023-02-03 深信服科技股份有限公司 一种数据处理方法、装置和存储介质
CN112468484B (zh) * 2020-11-24 2022-09-20 山西三友和智慧信息技术股份有限公司 一种基于异常和信誉的物联网设备感染检测方法
CN113449782B (zh) * 2021-06-18 2022-05-24 中电积至(海南)信息技术有限公司 一种基于图半监督分类的cdn托管节点检测方法
CN114244580A (zh) * 2021-11-29 2022-03-25 北京华清信安科技有限公司 用于互联网僵尸网络的图形分析识别方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102291268A (zh) * 2011-09-23 2011-12-21 杜跃进 一种安全域名服务器及基于此的恶意域名监控***和方法
EP3306900A1 (en) * 2016-10-07 2018-04-11 Secucloud GmbH Dns routing for improved network security
CN108494790A (zh) * 2018-04-08 2018-09-04 南京大学 一种在分布式网络中检测持续型网络攻击的方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102045215B (zh) * 2009-10-21 2013-04-24 成都市华为赛门铁克科技有限公司 僵尸网络检测方法及装置
CN102938769A (zh) * 2012-11-22 2013-02-20 国家计算机网络与信息安全管理中心 一种Domain flux僵尸网络域名检测方法
US9363269B2 (en) * 2014-07-30 2016-06-07 Zscaler, Inc. Zero day threat detection based on fast flux detection and aggregation
CN106230867A (zh) * 2016-09-29 2016-12-14 北京知道创宇信息技术有限公司 预测域名是否恶意的方法、***及其模型训练方法、***

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102291268A (zh) * 2011-09-23 2011-12-21 杜跃进 一种安全域名服务器及基于此的恶意域名监控***和方法
EP3306900A1 (en) * 2016-10-07 2018-04-11 Secucloud GmbH Dns routing for improved network security
CN108494790A (zh) * 2018-04-08 2018-09-04 南京大学 一种在分布式网络中检测持续型网络攻击的方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
Website Fingerprinting Attack on Anonymity Networks Based on Profile Hidden Markov Model;Zhongliu Zhuo;《IEEE Transactions on Information Forensics and Security 》;IEEE;20171013;第5卷(第13期);全文 *
基于代理控制力的Fast-Flux僵尸网络检测方法;刘资茂等;《广西大学学报(自然科学版)》;20111030;全文 *

Also Published As

Publication number Publication date
CN110177123A (zh) 2019-08-27

Similar Documents

Publication Publication Date Title
CN110177123B (zh) 基于dns映射关联图的僵尸网络检测方法
US10740363B2 (en) Domain classification based on domain name system (DNS) traffic
CN112104677B (zh) 一种基于知识图谱的受控主机检测方法和装置
US10721244B2 (en) Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program
US20170359362A1 (en) Spam classification system based on network flow data
WO2020133986A1 (zh) 僵尸网络域名家族的检测方法、装置、设备及存储介质
CN105681250A (zh) 一种僵尸网络分布式实时检测方法和***
CN102685145A (zh) 一种基于dns数据包的僵尸网络域名发现方法
US11652845B2 (en) Attack countermeasure determination apparatus, attack countermeasure determination method, and attack countermeasure determination program
CN110336789A (zh) 基于混合学习的Domain-flux僵尸网络检测方法
CN111953552B (zh) 数据流的分类方法和报文转发设备
CN109525577B (zh) 基于http行为图的恶意软件检测方法
Lei et al. Detecting malicious domains with behavioral modeling and graph embedding
CN109067778B (zh) 一种基于蜜网数据的工控扫描器指纹识别方法
KR102128008B1 (ko) 사이버 위협 정보 처리 방법 및 장치
CN108199878B (zh) 高性能ip网络中个人标识信息识别***及方法
Kondracki et al. The droid is in the details: Environment-aware evasion of android sandboxes
JP6538618B2 (ja) 管理装置及び管理方法
US20190007439A1 (en) Analysis method, analysis device, and analysis program
Nguyen A scheme for building a dataset for intrusion detection systems
US20200021647A1 (en) Method of P2P Botnet Detection Based on Netflow Sessions
CN108347447B (zh) 基于周期性通讯行为分析的p2p僵尸网络检测方法、***
CN111371917B (zh) 一种域名检测方法及***
TW201947442A (zh) 可疑網域之偵測方法、閘道裝置及非暫態電腦可讀取媒體
CN111031068B (zh) 一种基于复杂网络的dns分析方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
CB03 Change of inventor or designer information

Inventor after: Zhang Xiaosong

Inventor after: Niu Weina

Inventor after: Xiong Zhipeng

Inventor after: Xie Xin

Inventor after: Jiang Tianyu

Inventor after: Ge Honglin

Inventor before: Zhang Xiaosong

Inventor before: Niu Weina

Inventor before: Xiong Zhipeng

Inventor before: Xie Xin

Inventor before: Jiang Tianyu

Inventor before: Ge Honglin

CB03 Change of inventor or designer information
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant