摘要
为提出一种有效检测各类型DNS隐蔽通道的方法,研究了DNS隐蔽通信流量特性,提取可区分合法查询与隐蔽通信的12个数据分组特征,利用机器学习的分类器对其会话统计特性进行判别。实验表明,决策树模型可检测训练中全部22种DNS隐蔽通道,并可识别未经训练的新型隐蔽通道。提出的检测方法在校园网流量实际部署中成功检出了多个DNS隧道的存在。
To propose an effective detection method for DNS-based covert channel, traffic characteristics were thor- oughly studied. 12 features were extracted from DNS packets to distinguish covert channels from legitimate DNS queries. Statistical characteristics of these features are used as input of the machine learning classifier. Experimental results show that the decision tree model detects all 22 covert channels used in training, and is capable of detecting untrained covert channels. Several DNS tunnels were detected during the evaluation on campus network＇s live DNS traffic.
出处
《通信学报》
EI
CSCD
北大核心
2013年第5期143-151,共9页
Journal on Communications
基金
国家自然科学基金资助项目(61071081)
国家242信息安全计划基金资助项目(2011A004)
信息网络安全公安部重点实验室开放课题基金资助项目(C11608)~~
关键词
域名系统
隐蔽通道
入侵检测
机器学习
网络安全
domain name system
covert channel
intrusion detection
machine learning
network security -
作者简介
章思宇（1989-），男，上海人，上海交通大学硕士生，主要研究方向为网络与信息安全。
邹福泰[通信作者]（1973-），男，江西安福人，博士，上海交通大学讲师，主要研究方向为信息安全和分布式计算。E-mail：zoufutai@sjtu．edu．cn。
王鲁华（1980-），男，山东曹县人，硕士，国家计算机网络与信息安全管理中心工程师，主要研究方向为网络与信息安全。
陈铭（1989-），男，云南景洪人，上海交通大学本科生，主要研究方向为计算机系统和体系结构。
