面向主干网的DNS流量监测

• 作者: 刘尚东 张维维 胡晓艳 龚俭
• 来源期刊: 软件学报
• 学科: 工学
• 关键词: DNS监测 域名检测 上层DNS流量 DNS活动分析 多分类器
• 年，卷（期）: 2017,（9）
• 所属期刊栏目: 信息系统安全专题
• 页码范围: 2370-2387
• 页数: 18页
• 分类号: TP393
• 字数: 15910字
• 语种: 中文
• DOI: 10.13328/j.cnki.jos.005186

摘要

面对ISP主干网,为了检测威胁其管理城内用户安全的僵尸网络、钓鱼网站以及垃圾邮件等恶意活动,实时监测流经主干网边界的DNS交互报文,并从域名的依赖性和使用位置两个方面刻画DNS活动行为模式,而后,基于有监督的多分类器模型,提出面向ISP主干网的上层DNS活动监测算法DAOS(binary classifier for DNS activity observation system).其中,依赖性从用户角度观察域名的外在使用情况,而使用位置则关注区域文件中记录的域名内部资源配置.实验结果表明:该算法在不依赖先验知识的前提下,经过两小时的DNS活动观测,可以达到90.5％的检测准确率,以及2.9％的假阳性和6.6％的假阴性.若持续观察1周,准确率可以上升到93.9％,假阳性和假阴性也可以下降到1.3％和4.8％.