基于dns数据流的僵尸网络检测技术研究

《基于dns数据流的僵尸网络检测技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、硕士学位论文基于DNS数据流的僵尸网络检测技术研究RESEARCHONBOTNETDETECTIONTECHNOLOGIESBASEDONDNSTRAFFIC康乐哈尔滨工业大学2011年6月国内图书分类号：TP393.08学校代码：10213国际图书分类号：004密级：公开工学硕士学位论文基于DNS数据流的僵尸网络检测技术研究硕士研究生：康乐导师：李东教授申请学位：工学硕士学科：计算机科学与技术所在单位：计算机科学与技术学院答辩日期：2011年6月授予学位单位：哈尔滨工业大学ClassifiedIndex:TP393.08U.D.C:004DissertationfortheMasterDe

2、greeinEngineeringBOTNETDETECTIONTECHNOLOGIESBASEDONDNSTRAFFICCandidate：KangLeSupervisor：Prof.LiDongAcademicDegreeAppliedfor：MasterofEngineeringSpecialty：ComputerScienceandTechnologyAffiliation：SchoolofComputerScienceandTechnologyDateofDefense：June,2011Degree-Conferring-Institution：HarbinInstituteof

3、Technology哈尔滨工业大学工学硕士学位论文摘要僵尸网络作为一个攻击平台，可以发动分布式拒绝服务攻击、垃圾邮件、网络仿冒等各种攻击行为，已经成为网络安全最大的威胁之一，是网络安全研究者目前研究的最热点问题。本文首先介绍了僵尸网络的威胁、研究现状等，然后对僵尸网络的基本概念、僵尸网络的生存周期、检测方法的分类进行了简单的介绍，重点阐述了僵尸网络检测方法中的基于DNS数据流的僵尸网络检测方法。本文通过对僵尸网络DNS查询特征的长期分析，提出了基于加权支持向量机的Fast-flux僵尸网络检测方法，通过与ThorstenHolz的线性划分方法对比，实验表明，加权支持向量机方法能明显减少误报率

4、。在此基础上，提出了基于含有IP域名和DNSTXT查询的僵尸网络检测的增强方法。通过僵尸网络的归并算法，可以发现看起来不相干的两个僵尸网络域名或IP地址其实是属于同一个僵尸网络。利用基于含有IP地址域名的僵尸网络检测方法，可以检测出采用不同协议的僵尸网络。针对新出现的采用DNSTXT查询进行通信的僵尸网络，提出了一种基于DNSTXT查询的僵尸网络检测方法。实验表明，这些僵尸网络增强检测方法，对于僵尸网络的检测，都有很好的促进效果。关键词：僵尸网络；DNS数据流；Fast-flux；支持向量机--I哈尔滨工业大学工学硕士学位论文AbstractBotnetisplatformwhichcanc

5、arryoutDDOS,spamming,phishingandotherattacks.Asaresult,itbecomeoneofthegreatestthreatstonetworksecurityandthemosthottesttopicamongnetworksecurityresearchers.Inthispaper,thethreatofbotnetandtherelatedworkswhichhavebeendonebyotherresearcherareintroducedfirstly.Andthenthebasicconcepts,thelifetimeofbot

6、netandtheclassificationofdetectionmethodsofbotnethavebeenintroducedbriefly.Afterthat,thispapermakethefocusonthebotnetdetectionmethodsbasedonDNStraffic.ThroughalongtimeofanalyzingthecharacteristicsofbotnetDNSqueries,aFast-fluxbotnetdetectionmethodbasedonweightedSVMhasbeenproposed.Bycomparingwiththel

7、inearclassificationmethodproposedbyThorstenHolz,itshowsthatourmethodcanreducefalsenegativeobviously.Furthermore,severalenhancementbotnetdetectionmethodshavebeenproposed.Byusingthebotnetmergingalgorithm,weca