Domain－flux僵尸网络域名检测

李青山，陈 钟

（北京大学 网络与软件安全保障教育部重点实验室，北京100087）

0 引 言

域名系统 （domain name system，DNS）作为重要的互联网业务基础设施，主要用于完成从域名到IP地址的翻译转换功能。当前大多数互联网应用在开展具体的业务前，都需要利用域名系统完成从域名到IP地址的寻址转换。

僵尸网络 （botnet）是黑客利用僵尸程序控制大量主机（即僵尸主机）所形成的被控主机群。利用僵尸网络，攻击者可实施信息窃取、垃圾邮件投送、网络仿冒钓鱼、拒绝服务攻击等各种恶意活动。作为网络攻击的基本手段、资源平台和作为当前网络上很多恶意活动开展的主体，僵尸网络已成是当前互联网的主要安全威胁之一。

为了规避检测和封堵，提高自身的生存能力、灵活控制各傀儡主机，以及达到更好的隐藏效果，延长自身存活的时间以便获取更大的利益，大量botnet利用域名系统进行僵尸网络的组织及控制，如程序更新及资源获取、控制服务器 （command ＆control，C＆C）定位等。早期对域名系统的利用，主要是动态域名 （dynamic DNS，DDNS）技术，其后fast flux及domain flux等技术被用来指定控制服务器的IP地址，以隐蔽和迁移控制服务器。相比较于fast flux，domain flux技术可以以较低的成本提高对其检测的代价，延长其存活时间。所以近两年，botnet对domain flux技术的利用呈现快速上升的趋势。

当前针对Domain－flux僵尸网络的检测，主要集中在对域名字符特征的分析上。由于域名生成算法差异较大，易于修改和替换，其生成的域名字符特征表现也就各不相同，由于当前的检测方法多针对具体的字符特征，所以字符特征的变化可以逃避针对其僵尸网络的检测。……