基于HMM的Domain-Flux恶意域名检测及分析

摘要：

目前,僵尸网络广泛采用域名生成算法(Domain Generation Algorithm,DGA)生成大量随机域名躲避检测,这种躲避检测的方法已经成为破坏网络安全的主要威胁.因此,研究DGA域名识别方法对于检测恶意程序、打击僵尸网络、保障信息安全具有重要的现实意义.文章设计了基于ELK大数据平台的DGA域名检测分析框架,在充分研究黑名单等现有DGA域名识别方法的基础上,收集域名解析(Domain Name Server,DNS)业务系统的请求查询日志,以DGA域名为识别对象,基于隐式马尔可夫模型(Hidden Markov Model,HMM)对恶意域名进行聚类分析,从而实现对DGA域名的判定,进一步为僵尸网络等网络攻击行为的取证、溯源提供思路.实验结果表明,文章采用的轻量级检测分类器对正常域名和恶意域名的区分效果较好.

关键词：网络取证;隐式马尔可夫模型;恶意域名检测;ELK

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金;江苏省高等学校自然科学基金;江苏省公安厅科技研究项目;国家地方联合工程实验室开放课题;江苏警官学院教育教学改革研究项目

在线出版日期：2022-01-19（万方平台首次上网日期，不代表论文的发表时间）

页数：共8页

页码：1-8