基于DNS通信数据挖掘的Botnet检测方法.pptVIP

提纲 背景 系统 实验 扩展 僵尸网络 僵尸网络（Botnet），是指采用一种或多种传播手段，使大量主机感染僵尸程序 （bot程序），从而在控制者和被感染主机之间通过命令和控制体系所形成的一个一对多控制的网络。 DNS协议 域名系统协议（DNS）是一种分布式网络目录服务，主要用来把主机名转换为IP网络地址，是Internet最基础的协议之一 DNS vs Botnet检测 Botnet倾向于使用动态DNS定位CC服务器，提高系统的健壮性和可用性 IP： 续 域名： IP: 续 域名： IP: IP: 相关研究 DNS Measurements at a Root Server Brownlee, N.claffy, k.Nemeth, E. GLOBECOM, 2001 Detecting Mass-Mailing Worm Infected Hosts by Mining DNS Traffic Data. Yasuo Musashi, Ryuichi Matsuba, and Kenichi Sugitani. SIGCOMM , 2005 Passive Monitoring of DNS Anomalies Zdrnja, B. Brownlee, N.Wessels, D. DIMVA Conference, 2007 提纲 背景 系统 实验 扩展 DNS数据采集方法 在DNS服务器上运行日志程序记录收到的查询请求 如果客户端不使用本地的DNS服务器则采集不到 数据 在网络流量中过滤出DNS通信 这样不论客户端是否使用本地DNS服务器都可被采集到 系统结构图 数据库 表项 编号/请求IP/服务器IP/时间/查询类型/查询域名 Perl+MySQL 训练数据 非本地DNS服务器 通过分析采集到的DNS通信数据，发现有不少系统（约10%）使用一些不是我们提供的DNS服务器 非常规查询类型 除了通常的请求类型A，PTR之外，还有大量的MX类型和AXFR/IXFR类 数据挖掘算法 Ripper 很好的归类准确性和简单的规则 改进 实例权重的学习算法 批量增加 窗口阈值 提纲 背景 系统 实验 扩展 数据 2006年7月~2006年8月 每小时约采集180,000记录条数，其中经过数据挖掘处理，约300记录被标示为可疑 部分检测结果 域名 类型 数量 备注 fuck.syn-flood.us A 1789 W32.Spybot.AGEN A 1573 W32.Esbot.a/b A 2185 W32.Spybot.AFEW MX 176 疑似 A 97 疑似 A 118 疑似 A 611 广告软件服务器 A 492 下载软件服务器 DNS数据挖掘的其它应用 检测NAT代理 用户行为分析 感谢 僵尸网络是一个可控制网络，具有一定的分布性，采用一定的自动传播手段形成，可以一对多地执行指定的恶意行为，使得攻击者能够以极低的代价高效地控制大量的资源用来进行恶意活动。 Bot的历史实际上可追溯到上个世纪90年代，第一个Unix环境下的Bot是1993年的Eggdrop Bot，用于代替IRC网络管理员的部分工作。1999年11月出现的SubSeven 2.1木马成功地运用IRC协议控制感染该木马的主机，随后基于IRC协议的bot程序大量出现，如GTBot、Sdbot、Agobot等，使得基于IRC协议的僵尸网络成为主流。2004年出现的Phatbot在Agobot的基础上，开始独立使用P2P结构构建控制信道。目前，按僵尸网络的控制方式分类，可以分为IRC 僵尸网络、HTTP 僵尸网络、AOL 僵尸网络、P2P 僵尸网络等 * *