张建辉 孙皓月 赵万旗

(河北建筑工程学院，河北 张家口 075000)

0 引 言

域名系统(Domain Name System)为我国现代网络业务提供了方便[1]，增加了用户的上网体验.与此同时，域名系统解析也成为僵尸网络发动攻击的重要依托，为了逃避安全设施的检测，僵尸网络的攻击也越来越复杂，其中一个常见的技术就是在僵尸网络中使用DGA域名生成算法，使攻击服务器域名快速变化.在该方式下，控制服务器与受控机器的通信节点是动态变化的，安全人员难以捕捉到控制服务器的域名和IP地址[2]，以至于无法切断联系，阻止攻击.僵尸网络利用DGA域名生成算法进行通信的原理如下：攻击端和受控主机使用相同DGA算法，从生成的DGA域名中选取少量注册.由于通信节点处域名不断变化，传统的黑名单防护手段在更新上无法做到及时性，并且开销较大.因此业界急需一种有效的DGA恶意域名检测手段.

1 相关研究

DGA算法通过输入随机种子，以伪随机化算法作为辅助，生成一系列的随机字符串域名.所以域名表面上看似乎是随机的，但内部结构都是通过伪随机化算法生成的，其实是有迹可循的，比如对于算法输入的随机种子的选择，往往会选择当前的时间、网络热词等.

当前学术界对于DGA域名的检测从未停止.文献[3]使用机器学习方法，基于语法特征基础上加入了N-Gram模型特征，提高了算法的精确率；文献[4]提出了基于聚类和分类算法的恶意域名检测方法，使用聚类算法分出DGA域名的类……