基于代理控制力的Fast-Flux僵尸网络检测方法  

Detection of Fast-Flux botnet based on control capacity of agent

作　　者：刘资茂[1,2] 李芝棠[3,1,2] 李战春[3,2] 李冬[3,2] 方平[1,2] 

机构地区：[1]华中科技大学计算机科学与技术学院 [2]下一代互联网接入系统国家工程实验室,湖北武汉430074 [3]华中科技大学网络中心

出　　处：《广西大学学报（自然科学版）》2011年第A01期105-109,共5页Journal of Guangxi University（Natural Science Edition）

基　　金：湖北省自然科学基金重点项目(2008CDA021);中央高校基本科研业务费专项(2010QN047)

摘　　要：本文基于Fast-Flux僵尸网络对僵尸代理机器控制能力的分析,提出了一种实时检测Fast-Flux僵尸网络的方法,该方法可以通过主动提交DNS查询或者被动分析DNS响应数据包以度量可疑域名相映射IP地址的均匀分布率和平均可服务率以鉴别该域名是否是Fast-Flux域名。通过利用支持向量机(SVM)的实验表明,该方法具有较高的检测率、较低的误判率。After analyzing the control capacity of Fast-Flux botnet on bot agent, this paper provides a novel method to detect Fast-Flux botnet in real time based on inherent features of Fast-Flux botnet. Through actively or passively analysing the DNS response packet to calculate uniform distribution rate and average service rate of those IP addresses mapped by the suspicious domain, Fast-Flux domains can be identified. Experiments with SVM show that this method has high detection rate and low false positive rate.

关 键 词：僵尸网络 Fast—Flux僵尸网络 DNS SVM 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]