[发明专利]一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法有效
| 申请号： | 201710153536.0 | 申请日： | 2017-03-15 |
| 公开（公告）号： | CN106713371B | 公开（公告）日： | 2020-04-21 |
| 发明（设计）人： | 胥小波;陈云风;丁才伟;李艳梅;李翠娇;吴明朗 | 申请（专利权）人： | 中国电子科技网络信息安全有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06;H04L29/12 |
| 代理公司： | 成都九鼎天元知识产权代理有限公司 51214 | 代理人： | 项霞 |
| 地址： | 610207 四川省成都市*** | 国省代码： | 四川;51 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明提供了一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法，本方法首先挖掘网络攻击特征，过滤正常网络流量，然后把流量特征与协议特征相结合，利用机器学习的方法建立检测模型。本发明从DNS协议和流量两个方向着手对网络流量包进行分析，相比于传统的单纯用稳定性的方法检测率更高，误报率较低。本发明前期通过域名白名单、IP地址数、DNS查询相应数据的TTL平均值、DNS查询响应IP相似度等条件进行网络流量过滤模块，避免了对正常网络流量参与后期检测，大大减少了后期的计算成本，提高了效率。 | ||
| 搜索关键词： | 一种 基于 dns 异常 挖掘 fast flux 僵尸 网络 检测 方法 | ||
【主权项】：
一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法，其特征在于，包括如下步骤：步骤一：预先建立域名白名单，所述白名单内保存有正常网址的二级域名；步骤二：根据域名白名单、DNS查询响应数据的TTL值、域名对应的IP地址相似程度、域名对应的IP数量，域名是否采用CDN加速，进行数据过滤，提取出可疑的网络流量；步骤三：对可疑的网络流量进行DGA检测、基于协议特征的检测、基于流量特征的检测；步骤四：根据步骤三的三个检测结果进行告警融合，最终判定可疑的网络流量是否为恶意攻击。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于中国电子科技网络信息安全有限公司，未经中国电子科技网络信息安全有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201710153536.0/，转载请声明来源钻瓜专利网。
