基于 TCP 和DNS 流量特征的 APT 攻击检测.PDFVIP

基于TCP 和DNS 流量特征的APT 攻击检测 摘 要： 在对真实APT 攻击流量进行分析的基础上，深入挖掘APT 恶意软件与控制器通信时，在TCP 协议、DNS 协 议以及端口使用上表现出的规律特征，提出了一种基于周期性通信特征的APT 攻击检测方法（简称APDM ，APT Periodicity Detection Method ）。该方法对数据包中的元数据进行提取并聚类，对TCP SYN 数据、PSH ACK 数据、DNS 查询数据的周 期性以及端口使用的异常进行分析，以实现对 APT 攻击的检测。实验表明，该方法能够有对含有