基于網(wǎng)絡(luò)流量的fast-flux僵尸網(wǎng)絡(luò)檢測方法研究

《基于網(wǎng)絡(luò)流量的fast-flux僵尸網(wǎng)絡(luò)檢測方法研究》由會員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在學(xué)術(shù)論文-天天文庫。

1、電子科技大學(xué)UNIVERSITYOFELECTRONICSCIENCEANDTECHNOLOGYOFCHINA專業(yè)學(xué)位碩士學(xué)位論文MASTERTHESISFORPROFESSIONALDEGREE論文題目基于網(wǎng)絡(luò)流量的Fast-Flux僵尸網(wǎng)絡(luò)檢測方法研究專業(yè)學(xué)位類別工程碩士學(xué)號201522060704作者姓名王中晴指導(dǎo)教師張小松教授分類號密級注1UDC學(xué)位論文基于網(wǎng)絡(luò)流量的Fast-Flux僵尸網(wǎng)絡(luò)檢測方法研究（題名和副題名）王中晴（作者姓名）指導(dǎo)教師張小松教授電子科技大學(xué)成都（姓名、職稱、單

2、位名稱）申請學(xué)位級別碩士專業(yè)學(xué)位類別工程碩士工程領(lǐng)域名稱計(jì)算機(jī)技術(shù)提交論文日期2018年3月23日論文答辯日期2018年5月22日學(xué)位授予單位和日期電子科技大學(xué)2018年6月答辯委員會主席評閱人注1：注明《國際十進(jìn)分類法UDC》的類號。ResearchonFast-FluxBotnetDetectionMethodBasedonNetworkTrafficAMasterThesisSubmittedtoUniversityofElectronicScienceandTechnologyofChi

3、naDiscipline:MasterofEngineeringAuthor:ZhongqingWangSupervisor:XiaosongZhangSchool:SchoolofComputerScience&Engineering摘要摘要Fast-Flux技術(shù)利用快速變換域名相關(guān)IP地址的機(jī)制提高了攻擊者被追蹤溯源的難度。因此，攻擊者也越來越傾向于將Fast-Flux技術(shù)應(yīng)用到僵尸網(wǎng)絡(luò)當(dāng)中，以逃避安全研究人員的追蹤和檢測。如何有效檢測Fast-Flux僵尸網(wǎng)絡(luò)成為當(dāng)前網(wǎng)絡(luò)安全領(lǐng)域研究的熱點(diǎn)

4、問題?，F(xiàn)有的檢測方法大都集中在流量分析上，雖然可以在一定程度上識別Fast-Flux僵尸網(wǎng)絡(luò)，但是存在較高的誤報(bào)率和漏報(bào)率，且驗(yàn)證環(huán)境局限于離線環(huán)境。所以，如何在真實(shí)的高速網(wǎng)絡(luò)環(huán)境下實(shí)現(xiàn)Fast-Flux僵尸網(wǎng)絡(luò)的有效檢測是亟待解決的難題。針對上述問題，本文通過深入分析Fast-Flux僵尸網(wǎng)絡(luò)的基本原理和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，并在此基礎(chǔ)上，進(jìn)一步研究現(xiàn)有Fast-Flux僵尸網(wǎng)絡(luò)的相關(guān)學(xué)術(shù)成果，提出了兩階段Fast-Flux僵尸網(wǎng)絡(luò)檢測方案。該方案主要包括兩種方法：基于實(shí)時(shí)特征的可疑Fast-Flux

5、流量過濾和基于混合關(guān)聯(lián)的Fast-Flux僵尸網(wǎng)絡(luò)檢測?；趯?shí)時(shí)特征的可疑Fast-Flux流量過濾方法主要是通過DNS協(xié)議、黑白名單和Fast-Flux僵尸網(wǎng)絡(luò)實(shí)時(shí)特征三種過濾手段篩選出可疑的Fast-Flux流量。該方法縮減了系統(tǒng)所需處理的總數(shù)據(jù)流量，降低了不相關(guān)數(shù)據(jù)對算法的干擾，進(jìn)而提高了系統(tǒng)的檢測性能和效率。已有的Fast-Flux僵尸網(wǎng)絡(luò)檢測特征大都集中于局部特征，本文依據(jù)二部圖思想，通過分析域名與IP地址之間的全局關(guān)聯(lián)關(guān)系，結(jié)合現(xiàn)有基于時(shí)間的檢測方法的優(yōu)勢，提出了基于混合關(guān)聯(lián)的Fas

6、t-Flux僵尸網(wǎng)絡(luò)檢測方法，增加了Fast-Flux僵尸網(wǎng)絡(luò)特征向量的維度。該方法根據(jù)提取的特征向量，首次將具有檢測速度快和檢測精度高的XGBoost機(jī)器學(xué)習(xí)算法應(yīng)用到Fast-Flux僵尸網(wǎng)絡(luò)檢測中，進(jìn)一步提高檢測精度。此外，本方法還能有效識別處于構(gòu)建或者消亡狀態(tài)的Fast-Flux域名。最后，本文用公開的ISOT僵尸網(wǎng)絡(luò)數(shù)據(jù)集進(jìn)行測試，實(shí)驗(yàn)結(jié)果表明本文所提出的方法具有較高的檢測效率和準(zhǔn)確率。同時(shí)，針對高速網(wǎng)絡(luò)中流量捕獲和解析的難點(diǎn)，結(jié)合論文中提出的兩種方法，設(shè)計(jì)并實(shí)現(xiàn)了適用于高速網(wǎng)絡(luò)環(huán)境的

7、Fast-Flux僵尸網(wǎng)絡(luò)檢測原型系統(tǒng)。實(shí)際在線網(wǎng)絡(luò)流量評估結(jié)果表明，該原型系統(tǒng)可以很好的滿足高速網(wǎng)絡(luò)下Fast-Flux僵尸網(wǎng)絡(luò)的檢測需求。提出的檢測方法和實(shí)現(xiàn)的檢測系統(tǒng)為現(xiàn)有高速網(wǎng)絡(luò)環(huán)境下Fast-Flux僵尸網(wǎng)絡(luò)的檢測提供了有力的支持。關(guān)鍵詞：僵尸網(wǎng)絡(luò)，F(xiàn)ast-Flux技術(shù)，機(jī)器學(xué)習(xí)，高速網(wǎng)絡(luò)IABSTRACTABSTRACTFast-Fluxtechnologymakesuseofthemechanismofrapidlychangingdomainname-relatedIPaddr

8、essestoincreasethedifficultyoftraceabilityofattackers.Asaresult,attackersareincreasinglyinclinedtoapplyFast-Fluxtechnologytobotnettoescapethetrackinganddetectionofsecurityresearchers.SohowtoeffectivelydetectFast-Fluxbotnethasbecomeahotissueinthefield