基于DNS活动的恶意服务检测及其威胁评估

《基于DNS活动的恶意服务检测及其威胁评估》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、学麵分类号：ＴＰ３９３密级：公开ＵＤＣ．：００４９学号：０９９２３４博士学位论文基于ＤＮＳ活动的恶意服务检测及其威胁评估研究生姓名：张维维＿＿＿导师姓名：龚俭教授由请学位类別工学ｍ士学位授予单位东南．大隻—２０１７８级学科名称计簋机轴举与技术论文答辩日期年月＿ｇｌ＿ａ．一纫挙糾夂称计重机系统结构学位授予日期＿＿２Ｑ＿Ｍ＿＿月＿＿ｉ＿答辩委员会主席陈鸣教授评阅人２０１７年８月２４日ＭＡＬＩＣＩＯＵＳＳ

2、ＥＲＶＩＣＥＳＤＥＴＥＣＴＩＯＮＡＮＤＴＨＲＥＡＴＥＶＡＬＵＡＴＩＯＮＢＡＳＥＤＯＮＤＮＳＡＣＴＩＶＩＴＹＡＮＡＬＹＳＩＳＡＤｉｓｓｅｒｔａｔｉｏｎＳｕｂｍｉｔｔｅｄｔｏＳｏｕｔｈｅａｓｔＵｎｉｖｅｒｓｉｔｙＦｏｒｔｈｅＡｃａｄｅｍｉｃＤｅｇｒｅｅｏｆＤｏｃｔｏｒｏｆＥｎｇｉｎｅｅｒｉｎｇＢＹＺｈａｎＷｅｉｗｅｉｇＳｕｐｅｒｖｉｓｅｄｂｙＰｒｏｆｅｓｓｏｒＧｏｎＪｉａｎｇＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅ

3、ｎｃｅａｎｄＥｎｇｉｎｅｅｒｉｎｇＳｏｕｔｈｅａｓｔＵｎｉｖｅｒｓｉｔｙＭａｙ２０１７东南大学学位论文独创性声明本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研究成果，论。尽我所知，除了文中特别加以标注和致谢的地方外文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得东南大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。－研究生签名＾１－７：為曰期：？

4、东南大学学位论文使用授权声明东南大学、中国科学技术信息研究所、国家图书馆有权保留本人所送交学位论文的复印件和电子文档，可以采用影印、缩印或其他复制手段保存论文。本人电子文档的内容和纸一质论文的内容相致，允许论文被查阅和借阅，可以公布（包。除在保密期内的保密论文外括以电子信息形式刊登）论文的全部内容或中、英文摘要等部分内容。论文的公布（包括以电子信息形式刊登）授权东南大学研究生院办理。〇研究生签名：：＾：师签名爲办日期２ｉ２Ｓ．摘要ＤＮＳ作为互联网的重要基础设施，

5、承载着域名与ＩＰ地址之间相互映射的重任，，网络上各种应用活动都与之密切相关。与此同时域名解析服务也成为各类互联网安全威胁的重要工具，如僵尸网络在其扩散与通信中使用ＤＮＳ定位命令控制服务器，网络钓鱼和恶意代码下载等通过频繁变更域名对应的ＩＰ地址来隐匿背后真实的服务器。从网络测量的角度来说，与全报文网络流量相比，ＤＮＳ数据量相对较小且不加密，可以用于在主干链路上进行实时流量监测。此外，ＤＮＤＮ一Ｓ解析请求总是先于具体的攻击活动，理论上Ｓ流量监测能够在第时间发现并且抑制网络攻

6、击。因此，基于ＤＮＳ活动进行恶意服务检测是网络安全领一个新动向域的。面对日益严峻的网络安全问题，为了保障ＩＳＰ主干网的安全可靠运行，本文以主干节点路由器上采集的ＤＮＳ交互报文为数据源，以管理域内所有可见域名为检测对象，通过观察域名的字面特征、ＤＮＳ活动特征以及通信行为特征，研究僵尸网络、钓鱼网站和垃圾邮件等恶意服务的威胁检测与评估方法。本文的主要工作包括以下六个方面。１．为了缓解主干网上进行实时ＤＮＳ流量检测的性能压力，通过挖掘域名字一面包含的词素特征，提出个轻量级

7、检测算法，快速锁定可疑域名对象。该算法“”不但可以提高基于二元组频率分布特征经典算法的检测准确率，还能够有效地阻止攻击者基于事前相应特征统计的逃逸策略，以及借助字典或者构词工具的随机域名生成策略。２．为了提高主干网上进行实时ＤＮＳ流量检测的检测精度，针对ＤＮＳ缓存机制屏蔽终端用户解析查询请求导致下层ＤＮＳ流量检测算法失效的问题，在借助“”测度流记录数据间接获取用户和域名间访问关系的基础上，提出域名依赖性－Ｆ组，测量域名对用户的重要程度。另外，针对Ｆａｓｔｌｕｘ特征无法区

8、分内容分发网络引起误报增加的问题－，通过分析ＦａｓｔＦｌｕｘ服务网络和内容分发网络底层基础架构“”的不同，提出域名使用位置测度组，评估用于承载服务的网络基础架构的可靠性，。而后应用有监督的多分类器算法模型兼顾并行化测度计算的效率和多源数据融合处理的精度。与当前主流的通用域名检测系统相比，该算法虽然使用了最小的测度集，却拥有最高的检测精度。３．为了增强攻击活动的语义处理能力，针对发现的可疑域名，同时追踪它们一的ＤＮＳ活动特征和通信行为特征，提出个识别僵尸网