1、DNS是重要的網(wǎng)絡(luò)設(shè)備之一，由于DNS故障導(dǎo)致的“暴風(fēng)斷網(wǎng)”、“百度被黑”等事件的發(fā)生影響了用戶對(duì)于網(wǎng)絡(luò)的正常使用。與此同時(shí)，利用Fast-Flux技術(shù)構(gòu)造的僵尸網(wǎng)絡(luò)以及利用DNS進(jìn)行隱藏?cái)?shù)據(jù)的傳輸使得DNS成為網(wǎng)絡(luò)犯罪和逃避網(wǎng)絡(luò)監(jiān)管行為的最要幫手。實(shí)現(xiàn)對(duì)上述網(wǎng)絡(luò)異常行為的檢測(cè)對(duì)于保證網(wǎng)絡(luò)的正常使用以及凈化網(wǎng)絡(luò)環(huán)境有著重要的意義。
　　本文的主要任務(wù)是為CHARIS系統(tǒng)設(shè)計(jì)并實(shí)現(xiàn)DNS異常行為檢測(cè)模塊，實(shí)現(xiàn)對(duì)域名訪問(wèn)異常，DNS隱

2、藏通信以及Fast-Flux域名的檢測(cè)。
　　對(duì)于域名訪問(wèn)異常的檢測(cè)，本文首先提出了域名依賴性的概念用以描述域名對(duì)用戶的重要程度。設(shè)計(jì)了以域名被訪問(wèn)的用戶IP數(shù)為特征，k-means聚類算法為核心的域名依賴性判定算法；同時(shí)利用歷史域名依賴性數(shù)據(jù)設(shè)計(jì)出熱點(diǎn)域名判定算法；最后結(jié)合當(dāng)前檢測(cè)周期的域名依賴性分布情況以及熱點(diǎn)域名列表設(shè)計(jì)出依賴性異常檢測(cè)算法檢測(cè)出存在訪問(wèn)異常的域名。
　　對(duì)于DNS隱藏通信的檢測(cè)，本文首先提出將隱藏信道

3、分為基于域名的DNS隱藏信道以及基于服務(wù)的DNS隱藏信道。設(shè)計(jì)了合法DNS報(bào)文的檢測(cè)算法。對(duì)于基于服務(wù)的DNS隱藏信道提出通道流量的統(tǒng)計(jì)算法；對(duì)于基于域名的DNS隱藏信道，提出了基于機(jī)器學(xué)習(xí)的檢測(cè)算法，該算法選擇多個(gè)報(bào)文連接特征為檢測(cè)測(cè)度，使用C4.5決策樹分類器實(shí)現(xiàn)對(duì)隱藏信道的檢測(cè)。
　　對(duì)于Fast-Flux域名的檢測(cè)，本文提出了使用域名對(duì)應(yīng)IP數(shù)，TTL值等5個(gè)屬性作為Fast-Flux域名的檢測(cè)特征，使用C4.5決策樹作為