基于Passive DNS 的速变域名检测.pdfVIP

北京大学学报(自然科学版) 第 52 卷 第 3 期 2016 年 5 月 Acta Scientiarum Naturalium Universitatis Pekinensis, Vol. 52, No. 3 (May 2016) doi: 10.13209/j.0479-8023.2016.064 基于Passive DNS 的速变域名检测 1,2,3,† 1,2 1 1 1 周昌令 陈恺 公绪晓 陈萍 马皓 1. 北京大学计算中心 , 北京 100871; 2. 北京大学信息科学技术学院 , 北京 100871; 3. 北京大学计算机研究所 , 北京 100871; † E-mail: zclfly@ 摘要 利用 Passive DNS 采集校园网真实运行环境的域名访问记录, 从域名的多样性、时间性、增长性和相 关性等方面构建 18 个特征集 , 提出基于随机森林算法来识别速变域名的模型。交叉验证实验表明, 所构建 的模型对域名分类的准确率超过 90% 。在所采集的数据集上, 所构建的模型比 FluxBuster 能更有效地识别速 变域名。 关键词 Passive DNS; 速变域名; 随机森林算法; DGA; CDN 中图分类号 TP393 Detection of Fast-Flux Domains Based on Passive DNS Analysis 1,2,3,† 1,2 1 1 1 ZHOU Changling , CHEN Kai , GONG Xuxiao , CHEN Ping , MA Hao 1. Computer Center of Peking University, Beijing 100871; 2. School of Electronics Engineering and Computer Science, Peking University, Beijing 100871; 3. Institute of Computer Science Technology of Peking University, Beijing 100871; † E-mail: zclfly@ Abstract The authors use Passive DNS to log domain name query history of real campus network environment, and construct eighteen feature sets grouping by diversity, time, growth, and relevance, and then propose a model detect Fast-Flux Domains using random forest algorithm. The result shows that the proposed model can classify domains with accuracy over 90% by cross validation experiments. The model can detect Fast-Flux domains in the