基于通信相似度的僵尸网络节点检测方法Methodofbotnetnetwork.PDF

第 4 卷第 10 期 网络与信息安全学报 Vol.4 No.10 2018 年 10 月 Chinese Journal of Network and Information Security October 2018 基于通信相似度的僵尸网络节点检测方法 1,2 1 2 金渝筌 ，谢彬 ，朱毅 （1. 中国工程物理研究院电子工程研究所，四川 绵阳 621900 ； 2. 四川大学，四川 成都 610065 ） 摘 要：目前，僵尸网络检测方法大多依靠对僵尸网络通信活动或通信内容的分析，前者对数据流的特征进 行统计分析，不涉及数据流中的内容，在检测加密类型方面具有较强优势，但准确性较低；后者依赖先验知 识进行检测，具有较强的准确度，但检测的通用性较低。因此，根据杰卡德相似度系数定义了通信相似度， 并提出了一种基于用户请求域名系统（DNS ，domain name system ）的通信相似度计算方法，用于基于网络 流量的僵尸网络节点检测。最后，基于 Spark 框架对所提出的方法进行了实验验证，实验结果表明该方法可 以有效地用于僵尸网络节点检测。 关键词：僵尸网络；相似度检测；DNS 流量检测；网络安全 中图分类号：TP393 文献标识码：A doi: 10.11959/j.issn.2096-109x.2018078 Method of botnet network nodes detection base on communication similarity 1,2 1 2 JIN Yuquan , XIE Bin , ZHU Yi 1. Institute of Electronic Engineering in China Academy of Engineering Physics, Mianyang 621900, China 2. Sichuan University, Chengdu 610065, China Abstract: At present, the botnet detection method mostly relies on the analysis of the network communication activ- ity or the communication content. The former carries on the statistical analysis to the characteristic of the data flow, does not involve the content in the data flow, has the strong superiority in the detection encryption type aspect, but the accuracy is low. The latter relies on the prior knowledge to examine, has the strong accuracy, but the generality of detection is low. The communication similarity was defined according