[发明专利]一种高速网络下Fast-Flux僵尸网络检测方法和系统

权利要求书

1.一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于，包括以下步骤：

步骤1：获取DNS数据包，对捕获的DNS数据包进行解析和过滤，得到可疑Fast-Flux僵尸网络；

步骤2：分析所述可疑Fast-Flux僵尸网络的域名与IP地址间的全局关联映射关系，利用所述全局关联映射关系提取全局特征；

步骤3：提取所述可疑Fast-Flux僵尸网络基于时间的局部特征；

步骤4：利用机器学习算法对离线数据中的全局特征和局部特征进行训练，得到训练后的机器学习模型，利用训练后的机器学习模型对未知数据中的全局特征和局部特征进行检测，得到可疑Fast-Flux僵尸网络的分类结果。

2.根据权利要求1所述的一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于：所述步骤1中，利用PF_RING技术获取DNS数据包。

3.根据权利要求1所述的一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于：所述步骤1中，解析和过滤的步骤具体为：

步骤11：根据数据类型从DNS数据包中解析出DNS响应数据包；

步骤12：对DNS响应数据包进行黑白名单过滤；

步骤13：对步骤12过滤后的DNS响应数据包进行实时特征在线过滤，得到可疑Fast-Flux僵尸网络。

4.根据权利要求3所述的一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于：所述步骤13中实时特征在线过滤的规则为：

域名记录的TTL值小于等于阈值A；

域名记录的TTL值小于等于阈值B，映射的IP地址数大于阈值C，IP地址占据的AS总数和国家总数大于等于阈值D；

NS记录的TTL值小于等于阈值E，映射的IP地址数大于阈值F，IP地址占据的AS总数和国家总数大于等于阈值G；

所述阈值A、阈值B和阈值E均大于良性域名的正常设定值，所述阈值C、阈值D、和阈值F均小于良性域名的正常设定值。

5.根据权利要求1所述的一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于：

所述步骤2中全局特征包括：IP/FQDN节点的数量、FQDN/IP节点的最大和平均度数、最大IP/FQDN节点中介中心性。

6.根据权利要求1所述的一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于：

所述步骤3中局部特征包括：TTL值、ASN分散度、IP地址增长和IP子网。

7.根据权利要求1所述的一种高速网络下Fast-Flux僵尸网络检测方法，其特征在于：

所述步骤4中机器学习算法采用XGBoost机器学习算法。

8.一种高速网络下Fast-Flux僵尸网络检测系统，其特征在于：包括

高速网络流量捕获模块：用于捕获流经网关服务器的网络流量；

数据预处理模块：用于从高速网络流量捕获模块获取的网络流量中得到DNS数据包；

流量预处理模块：用于从DNS数据包中解析出DNS响应数据包；

流量过滤模块：用于对DNS响应数据包进行过滤，筛选出可疑Fast-Flux僵尸网络；

流量数据存储模块：用于利用分布式文件系统HDFS对流量文件文件进行存储；

特征提取模块：用于提取全局特征和局部特征，作为检测Fast-Flux僵尸网络的特征向量；

Fast-Flux僵尸网络检测模块：用于使用分布式计算框架Spark和机器学习算法XGBoost对提取特征向量进行计算，以检测Fast-Flux僵尸网络。