[发明专利]一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法

说明书

本发明提供了一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法，本方法首先挖掘网络攻击特征，过滤正常网络流量，然后把流量特征与协议特征相结合，利用机器学习的方法建立检测模型。本发明从DNS协议和流量两个方向着手对网络流量包进行分析，相比于传统的单纯用稳定性的方法检测率更高，误报率较低。本发明前期通过域名白名单、IP地址数、DNS查询相应数据的TTL平均值、DNS查询响应IP相似度等条件进行网络流量过滤模块，避免了对正常网络流量参与后期检测，大大减少了后期的计算成本，提高了效率。

技术领域

本发明涉及网络安全技术领域，特别是涉及一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法。

背景技术

传统的基于规则的僵尸网络检测技术，无法应对Fast Flux僵尸网络域名和IP地址的快速变化，且已有技术无法区分CDN正常访问。该专利提出了一种基于DNS异常挖掘的Fast Flux僵尸网络检测技术，基于DGA检测、CDN域名分析、DNS流量与协议异常挖掘技术，实现从DNS访问流量中自动挖掘和发现Fast Flux僵尸网络。

随着全球信息一体化的迅猛发展，互联网规模不断扩大，信息量呈几何级数增长。网络高级持续性威胁(advanced persistent threat，APT)层出不穷，安全态势严峻，需要从海量网络数据中挖掘分析异常行为。由于网络异常行为行踪隐蔽，常隐藏于正常的网络流量中，难于检测和分析，而且其形式变化多样，种类逐渐增多，内部结构复杂，需要基于大数据和关联挖掘分析进行建模和分析。

僵尸网络是网络攻击感染的系统集合，攻击者可以控制僵尸网络，进行入侵、攻击和数据窃取等异常行为。攻击者通过命令与控制通道对僵尸网络进行控制，由于基于固定IP地址或单一DNS域名的僵尸网络容易被发现和禁用，Fast Flux技术被僵尸网络利用，基于快速转换的C&C域名列表，利用僵尸网络节点作DNS解析。由于Fast Flux与用户访问CDN网络具有较大的相似性，检测难度较大。基于规则、传统的访问特征的机器学习算法存在明显的不足：通常需要黑名单才能完成检测；单纯利用单个僵尸主机行为相似性的方法容易出现误判；无法区分Fast Flux与CDN正常访问。

发明内容

为解决上述问题，本发明提供了一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法，包括如下步骤：

步骤一：预先建立域名白名单，所述白名单内保存有正常网址的二级域名。

步骤二：根据域名白名单、DNS查询响应数据的TTL值、域名对应的IP地址相似程度、域名对应的IP数量，域名是否采用CDN加速，进行数据过滤，提取出可疑的网络流量。

步骤三：对可疑的网络流量进行DGA检测、基于协议特征的检测、基于流量特征的检测。

步骤四：根据步骤三的三个检测结果进行告警融合，最终判定可疑的网络流量是否为恶意攻击。

进一步的，所述步骤二具体为：

步骤2.1：预先定义DNS查询响应数据的TTL值阈值、域名对应的IP地址相似程度的阈值、域名对应的IP数量的阈值。

步骤2.2：判断请求网址是否为可疑的网络流量，当所请求域名的二级域名不存在于白名单中以及DNS查询响应数据的TTL值小于TTL阈值以及域名对应的IP数大于IP数阈值以及IP地址相似程度大于相似程度阈值时，判断为可疑的网络流量。

进一步的，步骤2.3中，IP地址相似程度的技术公式为其中，sim(I)表示IP地址相似程度，P表示IP地址用点划分的8位，R表示一条DNS请求对应的IP数目。

进一步的，步骤三具体为：