[发明专利]一种高速网络下Fast-Flux僵尸网络检测方法和系统

说明书

本发明公开了一种高速网络下Fast‑Flux僵尸网络检测方法及系统，属于网络安全检测技术领域，首先获取DNS数据包，对捕获的DNS数据包进行解析和过滤，得到可疑Fast‑Flux僵尸网络；分析所述可疑Fast‑Flux僵尸网络的域名与IP地址间的全局关联映射关系，利用所述全局关联映射关系提取全局特征；提取所述可疑Fast‑Flux僵尸网络基于时间的局部特征；最后利用机器学习算法对离线数据中的全局特征和局部特征进行训练，得到训练后的机器学习模型，利用训练后的学习模型对未知数据中的全局特征和局部特征进行检测，得到可疑Fast‑Flux僵尸网络的分类结果，采用本发明能够提交检测精度、减少误报率高和提高处理效率。

技术领域

本发明涉及网络安全检测技术领域，具体涉及一种高速网络下Fast-Flux僵尸网络检测方法和系统。

背景技术

Fast-Flux技术利用快速变换域名相关IP地址的机制提高了攻击者被追踪溯源的难度。因此，攻击者也越来越倾向于将Fast-Flux技术应用到僵尸网络当中，以逃避安全研究人员的追踪和检测。如何有效检测Fast-Flux僵尸网络成为当前网络安全领域研究的热点问题。现有的检测方法大都集中在流量分析上，虽然可以在一定程度上识别Fast-Flux僵尸网络，但是存在较高的误报率和漏报率，且验证环境局限于离线环境。所以，如何在真实的高速网络环境下实现Fast-Flux僵尸网络的有效检测是亟待解决的难题。

Fast-Flux这种现象最早是由Gadi在2006年提出的，但是接下来，作者本人并没有做出很深入的探索与研究。2007年7月，德国密网项目组(The Honeynet Project)首次在互联网上捕捉到一种FastFlux僵尸网络，然后系统性的提出Fast-Flux技术，进行了详细的研究与阐述，并且定义了Single-Flux和Double-Flux两种Fast-Flux网络拓扑结构。

许多研究人员已经表明，DNS流量分析是检测Fast-Flux僵尸网络的有效方法。现有的大部分文章都采用主动探测的方法来获取DNS流量，而有些人选择使用被动监控方式，以避免与可疑域名的交互。而且，还一些作品结合了主动和被动这两种方法来提高Fast-Flux僵尸网络的检测率。

Hsu等人提出了一个实时检测FFSN的系统，目标是将检测时间缩短到几秒钟，而不影响检测精度。其主要思想是，HTTP响应中存在较长的延迟，可以作为通过Fast-Flux代理请求中继的结果，通过Fast-Flux节点中继的请求通常需要额外的时间，因为与Fast-Flux代理相关的节点只有相对有限的计算能力和网络带宽。Martinez-Bea等人提出了另一种实时快速通量检测方法，但是该方法只是用于检测一个Web服务是否被Fast-Flux僵尸网络实时控制。实时检测方法可能会产生较高的假阳性率和假阴性率，因为它可能会将带宽和计算能力都有限的合法Web服务器误分类为Fast-Flux域名，就仅仅是因为FFSN缺少具有高带宽和高计算能力的机器。

为了进一步减少检测时间，提出了一个实时检测Fast-Flux的系统(FFM)。FFM使用主动和被动混合的方法实现DNS监控的实时检测。主动监测主要收集三个特征，并使用贝叶斯分类器将可疑域名分类为良性或Fast-Flux，FFM的作者声称检测是实时的，而且它需要在10分钟内监测一个域名的多个移动窗口来增加检测精度。

Tyagi和Aghila提出了一种基于分析的检测技术(Analysis BasedDetectionTechnique，ABDT)，专门用于检测使用了地理上分散的一组代理主机的FFSN类型僵尸网络。HT Wang等人提出了一种使用局部空间地理定位检测(LSGD)系统实时识别FFSN的方法，同时还使用了自治系统号码(ASNs)来增强本地化的地理特征。SY Huang等人提出了一种基于空间分布估计和空间服务关系评估两种新型空间度量方法的空间快照Fast-Flux检测系统(SSFD)，该系统可以捕获主机的地理位置，并将DNS响应中的IP地址映射到地理坐标系中，以便实时检测FFSN，并且减轻由此造成的危害。