基于模糊聚類的僵尸網(wǎng)絡(luò)反規(guī)避技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)是由大量受控主機(jī)組成的一個(gè)攻擊平臺(tái)，攻擊者利用它可以發(fā)起分布式拒絕服務(wù)攻擊、垃圾郵件、網(wǎng)絡(luò)仿冒等各種攻擊，對(duì)網(wǎng)絡(luò)安全構(gòu)成了嚴(yán)重的威脅。因此，如何準(zhǔn)確、高效的檢測(cè)出僵尸網(wǎng)絡(luò)己成為國(guó)內(nèi)外研究的熱點(diǎn)問題。
　　僵尸網(wǎng)絡(luò)為了躲避檢測(cè)和封堵，提高自身的生存能力采取各種規(guī)避技術(shù)，其中應(yīng)用最為廣泛的是基于DNS的規(guī)避技術(shù)。目前針對(duì)DNS規(guī)避技術(shù)的僵尸網(wǎng)絡(luò)檢測(cè)方法中存在以下問題:首先每種檢測(cè)方法只針對(duì)某一種類型的僵尸網(wǎng)絡(luò)，只對(duì)指定類型的僵

2、尸網(wǎng)絡(luò)有較高的檢測(cè)效率，無法應(yīng)用到實(shí)際環(huán)境的僵尸網(wǎng)絡(luò)檢測(cè)中去;其次每種檢測(cè)方法都是獨(dú)立整體，無法與其他僵尸網(wǎng)絡(luò)檢測(cè)方法進(jìn)行關(guān)聯(lián)分析。對(duì)此，本文提出了一種基于模糊聚類的僵尸網(wǎng)絡(luò)反規(guī)避技術(shù)，較好地解決了目前針對(duì)DNS規(guī)避技術(shù)的僵尸網(wǎng)絡(luò)檢測(cè)方法中存在的問題。主要工作包括:
　　(1)為了有效地對(duì)基于DNS規(guī)避技術(shù)的僵尸網(wǎng)絡(luò)進(jìn)行檢測(cè)，本文對(duì)僵尸網(wǎng)絡(luò)域名與正常網(wǎng)絡(luò)域名的DNS查詢特征進(jìn)行對(duì)比分析，提取了22個(gè)可以明顯區(qū)別僵尸網(wǎng)絡(luò)域名與正常網(wǎng)

3、絡(luò)域名的特征，同時(shí)考慮到不同僵尸網(wǎng)絡(luò)之間特征的重疊性與高維特征在運(yùn)算過程中存在的“維數(shù)災(zāi)難”問題，提出了一種前向選擇與后向消除結(jié)合的特征選擇方法。該方法通過組排除和特征包含兩個(gè)部分進(jìn)行特征選擇。組排除部分的目的是評(píng)估組的功能，刪除那些對(duì)整體精度貢獻(xiàn)最小的分組。特征包含部分分析了最差執(zhí)行組中的每個(gè)特征，逐個(gè)選擇能夠增加整體精度的單個(gè)特征。最終通過實(shí)驗(yàn)選擇出檢測(cè)效率最高的13個(gè)特征。
　　(2)提出了一種基于改進(jìn)模糊聚類的僵尸網(wǎng)絡(luò)反規(guī)