Detecting bot-infected machines using DNS fingerprinting 学习笔记

0. 摘要

  之前识别僵尸网络更多的是通过失败请求(为什么？)和domain flux信息，但很少有人研究在公司内的僵尸网络。本文提出一种新颖的异常检测的方法，该方法主要是通过每小时内的主机DNS指纹来进行异常检测。本文成功提出的检测系统名称为BotDAD(Bot DNS Anomaly Detection)。

1. 绪论

  DNS是互联网中的必要设施。DNS通过递归把域名映射成IP地址。DNS请求是由header section, question section和answer section三部分组成的。

  僵尸网络C&C通信中往往会用到DNS隧道通信。

2. 架构

  DNS Fingerprint generation module generates hourly DNS fingerprint of each host in the network by inspecting
network DNS

  DNS fingerprint是由三个模块组成的 1) Feature Extractor, 2) Host Profiler and 3) Fingerprint Generator.