袁福祥，刘粉林，芦斌，巩道福

(1. 解放军信息工程大学网络空间安全学院，河南 郑州 450001；2. 数学工程与先进计算国家重点实验室，河南 郑州 450001)

基于历史数据的异常域名检测算法

袁福祥1,2，刘粉林1,2，芦斌1,2，巩道福1,2

(1. 解放军信息工程大学网络空间安全学院，河南 郑州 450001；2. 数学工程与先进计算国家重点实验室，河南 郑州 450001)

提出一种基于域名历史数据的异常域名检测算法。该算法基于合法域名与恶意域名历史数据的统计差异，将域名已生存时间、whois信息变更、whois信息完整度、域名IP变更、同IP地址域名和域名TTL值等作为主要参量，给出了具体的分类特征表示；在此基础上，构建了用于异常域名检测的SVM分类器。特征分析和实验结果表明，算法对未知域名具有较高的检测正确率，尤其适合对生存时间较长的恶意域名进行检测。

异常域名；域名历史数据；特征；检测

1 引言

近年来，随着网络技术的不断发展，网络中出现的各种威胁也不断增加，如恶意软件[1]、僵尸网络[2]和木马[3]等。其中，僵尸网络和木马在发动诸如垃圾邮件、网络钓鱼[4]等恶意行为的过程中往往都通过域名系统，即DNS解析域名获取回连服务器的IP地址，从而隐藏躲避在僵尸代理身后的命令与控制服务器(Camp;C, command-and-control server)[5～8]，回连控制端接收控制消息或回传盗取的数据信息，躲避检测和封堵，提高自身的顽健性，延长生命周期。由此可见，域名在僵尸网络及木马发动攻击行为的过程中发挥了至关重要的作用，因此，如何对此类攻击中所使用的域名进行检测，对于发现并防范僵尸网络及木马的传播具有极为重要的意义。……