[发明专利]基于混合学习的Domain-flux僵尸网络检测方法

说明书

本发明涉及基于混合学习的Domain‑flux僵尸网络检测方法，输入的DNS数据区分训练数据集和检测数据集，分别预处理并将预处理后的训练数据集输入模型，训练得到分类器，将预处理后的检测数据集输入分类器，输出聚类后的域名簇，计算域名簇分值并筛选属于Domain‑flux僵尸网络域名的簇，获得受感染主机IP地址及C&C服务器IP地址。本发明为后续防御措施奠定基础，解析时使用和域名、时间、请求IP、解析IP等多方相关的特征，不容易被绕过；兼顾有监督和无监督学习优势，结合分类和聚类算法，可有效检测与训练集差异较大、表现形式不同的未知僵尸样本，相较其他聚类算法检测速度快。

技术领域

本发明涉及数字信息的传输，例如电报通信的技术领域，特别涉及一种基于混合学习的Domain-flux僵尸网络检测方法。

背景技术

随着网络技术的发展，越来越多、各种形式的计算机都接入了互联网，这也给了僵尸网络以更大的可乘之机。僵尸网络由僵尸主机、僵尸程序、状态转换函数和C&C信道四个部分构成，从攻击者角度看，僵尸主机可有多种状态，如不可用、可用、活动中等，这些僵尸主机会在其真正所有者不知情、未授权的情况下做一些有利于僵尸网络控制者的行为，包括DDoS(分布式拒绝服务)攻击、垃圾邮件、点击欺诈、流量窃听和比特币采集等，僵尸程序是攻击者用于操控僵尸主机的工具，状态转换函数表示僵尸主机经过僵尸程序控制导致状态变迁的转换关系，C&C信道包括僵尸主机和控制者通信时所使用的网络拓扑和相关软件资源。僵尸网络造成影响网络正常工作、信息泄露、网络行为伪造、计算资源窃取等后果，严重影响网络和社会的正常运行。

Domain-flux是僵尸网络常用的一个通过躲避检测和信道频繁变更来保证其可用性的技术，其最终目的是找到C&C信道的IP，而途径是产生并访问持续变化的域名，僵尸主机中的程序在不同时间可产生不同的域名进行DNS查询，根据DNS的返回结果进行与C&C的通信，如果C&C的IP被封，僵尸网络控制者只要更改下一次访问域名对应的IP地址即可完成迁移。这使得对僵尸网络及时的防御工作变得非常困难。Domain-flux技术的核心算法是DGA(域名生成算法)，通过一个主控端或受控端都可以获得的信息——如时间、某网站内容等——作为种子，通过某一种映射算法产生一个字符串，再拼接上有效的顶级域名，从而产生合法的DNS域名。网络安全人员需要知道种子来源和伪随机算法才能预测出这个DGA可以产生的恶意域名。

现有专利CN105897714A“基于DNS流量特征的僵尸网络检测方法”提出了一种基于DNS流量，通过四个基于域名的特征和随机森林算法检测使用Domain-flux域名，其存在基于域名特征的检测方法对于部分DGA僵尸网络会产生较多漏报、及当待检测的僵尸样本和训练集的区别较大时分类算法随机森林难以有效对待测样本加以区分的缺陷。

论文A method for detecting DGA botnet based on semantic and clusteranalysis提出了一种基于DNS流量，通过过滤和K-means算法聚类的手段检测使用Domain-flux域名，同样存在着虽然检测到恶意NXdomain，但不容易得到僵尸网络使用的域名和C&C服务器的地址，不便于后期的对抗，及寻找K的次数过多而使得K-means聚类失去时效性优势的缺陷。

发明内容

本发明解决了现有技术中，普遍存在的包括单独使用域名相关的特征或时间特征而存在易于被绕过的行为、基于阈值或分类算法的检测方法很难达到训练集涵盖所有该检测的情况、基于聚类的检测方法一般时间复杂度较高的问题，提供了一种优化的基于混合学习的Domain-flux僵尸网络检测方法。

本发明所采用的技术方案是，一种基于混合学习的Domain-flux僵尸网络检测方法，所述方法包括以下步骤：

步骤1：将输入的DNS数据分为训练数据集和检测数据集；

步骤2：分别对训练数据集和检测数据集进行预处理；