一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法

摘要

本发明提供了一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法，本方法首先挖掘网络攻击特征，过滤正常网络流量，然后把流量特征与协议特征相结合，利用机器学习的方法建立检测模型。本发明从DNS协议和流量两个方向着手对网络流量包进行分析，相比于传统的单纯用稳定性的方法检测率更高，误报率较低。本发明前期通过域名白名单、IP地址数、DNS查询相应数据的TTL平均值、DNS查询响应IP相似度等条件进行网络流量过滤模块，避免了对正常网络流量参与后期检测，大大减少了后期的计算成本，提高了效率。