一种基于DGA域名和周期性网络连接会话行为的僵尸网络检测技术

摘要

本发明公开了一种基于DGA域名和周期性网络连接会话行为的僵尸网络检测技术，涉及网络安全领域。所述的检测方法包括：获取网络协议数据，解析DNS协议日志；建立DGA域名的机器学习检测模型，检测主机访问的域名是否符合DGA域名特征；使用聚类方法，发现DGA域名访问行为相似的主机群体；使用循环自相关的方法检测主机与DGA域名之间是否存在间歇性网络连接行为的检测；结合上述步骤，检测出主机群体中的僵尸网络。本发明只以旁路的采集形式采集交换机中网络协议数据，使用范围广，检测效率和准确率。