基于通信行为分析的DNS隧道木马检测方法

摘要

本发明公开一种基于通信行为分析的DNS隧道木马检测方法，主要包含数据包采集整合模块、DNS会话重组模块、随机森林分类训练学习模块和DNS隧道木马流量检测模块四大部分。从DNS会话的视角剖析了DNS隧道木马的通信模式，提取了七大区别于正常的DNS会话特征的属性，利用改进随机森林算法构建分类训练器，最终建立了DNS隧道木马检测模型。实验测试表明本文提出的基于通信行为分析的DNS隧道木马检测技术不仅能有效的侦测出高隐蔽性DNS隧道木马，误报率小和漏报率低，而且对于未知的DNS隧道木马同样有很好的检测效果。