基于DNS映射关联图的僵尸网络检测方法

摘要

本发明涉及基于DNS映射关联图的僵尸网络检测方法，包括：A.过滤DNS流量和包含A记录的响应数据包流量，对该过滤后的响应数据包流量预处理；B.对预处理后的响应数据包流量分别以全域名和IP为关键字提取关联映射关系，分别构建以全域名和IP为中心节点的二部图组件集，并合并每个二部图组件集里的图组件；C.分析所述二部图集中的元素，提取图特征向量；D.将已公开的Fast‑flux与Domain‑flux僵尸网络集作为数据输入，执行步骤A～步骤C，根据提取的图特征向量，将数据划分训练集与测试集，使用LightGBM算法，得到分类模型；E.应用分类模型完成待测流量的僵尸网络检测。本发明能够同时对Fast‑flux与Domain‑flux两种僵尸网络进行检测，并且具有较高的检测准确率。