基于SVM的Fast-flux僵尸網(wǎng)絡(luò)檢測技術(shù)研究

摘要： 近些年出現(xiàn)的采用Ｆａｓｔ－ｆｌｕｘ技術(shù)的僵尸網(wǎng)絡(luò)，給網(wǎng)絡(luò)安全帶來了極大的威脅。因此，有效檢測Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)就成為網(wǎng)絡(luò)安全研究者關(guān)注的熱點問題。目前的檢測方法都存在誤報率較高的問題。針對這個不足，通過對Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析，選取Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的六個典型特征，提出了基于ＳＶＭ的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的檢測方法。實驗表明，基于ＳＶＭ的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)檢測方法明顯地降低誤報率。

關(guān)鍵詞：

中圖分類號： ＴＰ３９３ 文獻(xiàn)標(biāo)識碼：Ａ 文章編號：２０９５－２１６３（２０１１）０１－００２４－０４

０引言

僵尸網(wǎng)絡(luò)能夠?qū)嵭校模模希印⒗]件、竊取個人信息、網(wǎng)絡(luò)仿冒等攻擊行為，對網(wǎng)絡(luò)安全產(chǎn)生了極大的危害。因此，越來越多的研究者開始研究僵尸網(wǎng)絡(luò)。研究表明，為了提高網(wǎng)絡(luò)的健壯性和存活率，僵尸網(wǎng)絡(luò)普遍采用Ｆａｓｔ－ｆｌｕｘ技術(shù)[１]。

Ｆａｓｔ－ｆｌｕｘ技術(shù)是為一個域名配置多個ＩＰ地址，并且這些ＩＰ地址以非常快的頻率更換，從而實現(xiàn)域名到ＩＰ地址的動態(tài)映射。通過動態(tài)變換ＩＰ地址，每次用戶訪問某個域名時，實際上訪問的并不是同一主機(jī)。利用此特征，僵尸網(wǎng)絡(luò)控制者可以將其控制的肉雞中服務(wù)能力比較強(qiáng)、具有公有ＩＰ的肉雞作為代理，其他一些服務(wù)能力比較弱的主機(jī)通過與這些代理通信，代理將通信重定向到后面真正的控制者，完成控制者與肉雞的通信過程。僵尸網(wǎng)絡(luò)控制者通過頻繁的更換域名到代理ＩＰ的映射，從代理網(wǎng)絡(luò)中剔除不可用的以及服務(wù)能力較弱的代理，提高網(wǎng)絡(luò)的健壯性和可用性。

１相關(guān)工作

１．１傳統(tǒng)僵尸網(wǎng)絡(luò)檢測方法

Ｈｙｕｎｓａｎｇ Ｃｈｏｉ，Ｈａｎｗｏｏ Ｌｅｅ等人提出基于僵尸網(wǎng)絡(luò)ＤＮＳ查詢?nèi)后w性特征的檢測方法[２－３]。該方法通過對校園網(wǎng)ＤＮＳ數(shù)據(jù)分析發(fā)現(xiàn)：在僵尸網(wǎng)絡(luò)活躍時，受控主機(jī)將同時發(fā)出ＤＮＳ查詢這一群體性特征。但是，這種方法不能區(qū)分迅雷、ＢＴ等下載站點，因為當(dāng)客戶端同時下載一個資源時，也具有相同的行為。

Ｓｈｏｕｈｕａｉ Ｘｕ、Ｒａｖｉ Ｓａｎｄｈｕ等人提出一種基于主機(jī)ＤＮＳ訪問與網(wǎng)頁訪問關(guān)系的僵尸網(wǎng)絡(luò)檢測方法[４]。這種方法需要獲取大量主機(jī)頁面訪問的數(shù)據(jù)以及ＤＮＳ訪問數(shù)據(jù)，并且需要將兩種數(shù)據(jù)組合。數(shù)據(jù)量巨大，在大規(guī)模的網(wǎng)絡(luò)中實現(xiàn)困難。

Ｋａｚｕｙａ Ｔａｋｅｍｏｒｉ等人提出基于信息熵理論的僵尸網(wǎng)絡(luò)檢測方法。該方法通過分析一段時間的校園網(wǎng)ＤＮＳ數(shù)據(jù)發(fā)現(xiàn)：當(dāng)僵尸網(wǎng)絡(luò)活躍時，某些域名的熵發(fā)生了劇烈變化[５－６]。但是Ｋａｚｕｙａ Ｔａｋｅｍｏｒｉ等人的方法在某些網(wǎng)站訪問量劇增的時候會出現(xiàn)誤報。如：２００８年北京奧運(yùn)會開幕式當(dāng)天，奧運(yùn)會官網(wǎng)的訪問量變化非常劇烈。

１．２Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)檢測方法

Ｊｏｓｅ Ｎａｚａｒｉｏ等人對Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)進(jìn)行長期觀察，提出了Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的九個基本特征，并詳細(xì)分析了Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的地域分布、生存時間、網(wǎng)絡(luò)大小等基本特征[７]。Ｔｈｏｒｓｔｅｎ Ｈｏｌｚ利用已經(jīng)發(fā)現(xiàn)的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的特征，采用線性劃分的方法將Ｆａｓｔ－ｆｌｕｘ服務(wù)和ＲＲＤＮＳ（輪轉(zhuǎn)域名系統(tǒng)）、ＣＤＮ（內(nèi)容分發(fā)網(wǎng)絡(luò)）相區(qū)分，獲得了很好的效果[１]。

Ｃｈｅｎｆｅｎｇ Ｖｉｎｃｅｎｔ Ｚｈｏｕ等人提出了一種分布式入侵檢測系統(tǒng)對采用Ｆａｓｔ－ｆｌｕｘ 技術(shù)的釣魚網(wǎng)站的檢測方法[８]。但是該方法需要各地的ＩＤＳ都得和其他ＩＤＳ交換數(shù)據(jù)來檢測Ｆａｓｔ－ｆｌｕｘ域名，并不能在前端檢測。

Ａｌｐｅｒ Ｃａｇｌａｙａｎ等人采用主動和被動方式實現(xiàn)ＦＦＳＮ的實時監(jiān)測[９－１０]，但是其所采用的數(shù)據(jù)都是在非常小的時間段內(nèi)獲取的，如果某個網(wǎng)站將其服務(wù)遷移到不同的機(jī)器，將出現(xiàn)誤報。

Ｅｍａｎｕｅｌｅ Ｐａｓｓｅｒｉｎｉ等利用ＦＦＳＮ（Ｆａｓｔ－ｆｌｕｘ服務(wù)網(wǎng)絡(luò)）的九個特征，采用樸素貝葉斯算法，對ＦＦＳＮ進(jìn)行檢測[１１]。

Ｙａｎｇ Ｗａｎｇ利用僵尸網(wǎng)絡(luò)ＩＰ數(shù)和ＡＳ（自治系統(tǒng)）數(shù)兩個特征，采用ＳＶＭ對ＦＦＳＮ服務(wù)進(jìn)行檢測[１２]，取得了很好的效果。但因其只采用了９０個正常域名，３９個Ｆａｓｔ－ｆｌｕｘ域名的數(shù)據(jù)集，而數(shù)據(jù)集太小，則無法代表網(wǎng)絡(luò)中的真實環(huán)境。

Ｊｉａｙａｎ Ｗｕ等人對現(xiàn)有的線性劃分、ＫＮＮ（Ｋ最近鄰）和樸素貝葉斯的ＦＦＳＮ檢測方法進(jìn)行了對比[１３]。

本文通過對哈爾濱工業(yè)大學(xué)兩臺ＤＮＳ服務(wù)器的長期數(shù)據(jù)進(jìn)行分析，選取了Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的六個典型特征，采用線性核函數(shù)的ＳＶＭ方法對Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)進(jìn)行檢測，取得了比較好的效果。

２特征選取及ＳＶＭ算法選取

２．１Ｆａｓｔ－ｆｌｕｘ特征選取

本文中，用來區(qū)分Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名和正常域名選取的特征如表１所示，特征主要分為三大類。第一類是域名的特征，第二類是網(wǎng)絡(luò)特征，第三類是代理的分布特征。

（１）ＴＴＬ特征

Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)為了提高健壯性，會頻繁地變換ＩＰ地址。為了做到這一點，僵尸網(wǎng)絡(luò)控制者會將ＤＮＳ緩存的時間設(shè)置的比較小，以便當(dāng)控制者改變ＩＰ地址時，被控機(jī)器能及時地連上控制主機(jī)，因此，Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名的ＴＴＬ都會比較小。對于一些采用ＣＤＮ，或者ＲＲＤＮＳ技術(shù)的大型網(wǎng)站，其緩存時間ＴＴＬ也會比較小，但是，還可以采用剩下的五個特征來區(qū)分。

圖１為２０１１－０３－１８到２０１１－０３－２１哈爾濱工業(yè)大學(xué)２０２．１１８．２２４．１０１上捕獲的３７５ ８８５個Ａ類查詢的權(quán)威回答域名的ＴＴＬ分布。由圖１可知，對于Ａ類應(yīng)答，ＴＴＬ小于等于６００Ｓ的域名為２３．９８％， ＴＴＬ小于３００Ｓ的占９．６３％。Ｆａｓｔ－ｆｌｕｘ技術(shù)的基本特征就是會頻繁地更換ＩＰ地址，一般的ＴＴＬ都小于６００Ｓ，因此若只對ＴＴＬ小于６００Ｓ的域名進(jìn)行分析，可以大大減少數(shù)據(jù)量和工作量。

（２）單個域名Ａ記錄ＩＰ個數(shù)特征

Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)每隔一段時間都會更新一下其代理機(jī)器，因此，在一段時間內(nèi)，Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名查詢得到的ＩＰ地址會持續(xù)的增加，累計得到的ＩＰ數(shù)也會非常大。

而對于正常的域名，提供服務(wù)的機(jī)器是固定的。因此，得到的ＩＰ地址一段時間之后會穩(wěn)定不變，并且ＩＰ地址的個數(shù)比較小。圖２和圖３分別顯示了僵尸網(wǎng)絡(luò)域名和正常域名ＩＰ地址的增長情況。

（３）ＩＰ所屬自治域特征

表２顯示的四個典型Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名與正常域名得到ＩＰ所屬自治域的對比。由表２可知，Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名獲取的ＩＰ所屬的自治域都比較多，分布在幾十甚至上百個不同的自治域中；而對于正常的域名來說，ＩＰ地址一般都分布在一個自治域中。

（４）ＩＰ所屬國家特征

表２顯示的是四個典型的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)和四個訪問量比較大的域名所屬國家的對比。由表２可知，采用Ｆａｓｔ－ｆｌｕｘ技術(shù)的僵尸網(wǎng)絡(luò)來說，受感染主機(jī)的分布影響，用來做代理的主機(jī)將分布在不同的國家，而正常的ＦＦＳＮ服務(wù)或者正常的域名的ＩＰ一般都在一個國家中或少數(shù)幾個國家中。這一特征對區(qū)分Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)和正常的Ｆａｓｔ－ｆｌｕｘ服務(wù)非常有用。一般正常的Ｆａｓｔ－ｆｌｕｘ服務(wù)的ＩＰ地址都屬于一個國家，而Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的ＩＰ地址則分布在不同的國家。

（５）其他特征

如Ｅｍａｎｕｅｌｅ Ｐａｓｓｅｒｉｎｉ[１１]文中闡述的原因，還采用了域名注冊時間、所屬組織機(jī)構(gòu)這些特征，作為區(qū)分Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的特征。

２．２ＳＶＭ算法選取

ＳＶＭ是基于結(jié)構(gòu)風(fēng)險最小化理論，在特征空間中建構(gòu)最優(yōu)分割超平面，使得學(xué)習(xí)器得到全局最優(yōu)化，并且整個樣本空間的期望風(fēng)險以某個概率滿足一定上界。支持向量機(jī)的目標(biāo)就是要根據(jù)結(jié)構(gòu)風(fēng)險最小化原理，構(gòu)造一個目標(biāo)函數(shù)將兩類模式盡可能地區(qū)分開來。

通常分為兩類情況來討論：（１）線性可分；（２）線性不可分。

對于本文選取的六個特征，對應(yīng)于Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名和正常域名的劃分，這是一個線性可分的問題。對應(yīng)于線性可分問題，采用ＳＶＭ，會存在一個超平面使得訓(xùn)練樣本完全分開。該超平面可描述為：

ｇ（ｘ）＝ｗｔｘ＋ｗ０ （１）

其中，ｗ是權(quán)向量，ｗ０是閾值權(quán)或者偏置。對于ｇ（ｘ）＞０，則該樣本在決策面的上方；反之，則在決策面的下方。

最優(yōu)超平面是使得每一類數(shù)與超平面距離最近的向量與超平面之間的距離最大的平面，即要求使公式（２）最小化的ｗ。

３實驗驗證

本文中所采用的數(shù)據(jù)來自于ｔｃｐｄｕｍｐ捕獲的哈爾濱工業(yè)大學(xué)兩臺ＤＮＳ服務(wù)器從２０１１－０３－１８Ｔ１２－４１－００到２０１１－０４－０１Ｔ０８－２３－００的所有ＤＮＳ查詢應(yīng)答數(shù)據(jù)１２０Ｇ和采用ＤＩＧ跟蹤的一些Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的ＤＩＧ數(shù)據(jù)。

本文將２０１１－０１－０９到２０１１－０３－１８的ＤＮＳ數(shù)據(jù)和２０１１－０１－０９到２０１１－０３－１８的５５個Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名[１４]的ＤＩＧ數(shù)據(jù)作為訓(xùn)練集。將２０１１－０３－１８到２０１１－０４－０１的ＤＮＳ數(shù)據(jù)以及２０１１－０３－１８活躍的８個Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名的ＤＩＧ數(shù)據(jù)作為測試集。

因為數(shù)據(jù)量巨大，每天都有超過１ ０００萬條查詢，所以，對數(shù)據(jù)進(jìn)行預(yù)處理，只考慮一段時間內(nèi)累計ＩＰ數(shù)大于４或者ＩＰ 對應(yīng)的自治域或國家數(shù)大于２的域名。因為對于域名ＩＰ數(shù)比較小，并且都在同一國家和自治域的域名，不可能是采用Ｆａｓｔ－ｆｌｕｘ技術(shù)的域名。

對訓(xùn)練集進(jìn)行預(yù)處理之后，剩余９ ９４５個域名，通過人工驗證的方法，對其進(jìn)行標(biāo)記。５５個Ｆａｓｔ－ｆｌｕｘ域名ＤＩＧ跟蹤得到３２個仍然活躍的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名。將以上數(shù)據(jù)作為訓(xùn)練集。

對測試集進(jìn)行預(yù)處理之后，剩余１９ ７５３個域名，并加入８個Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名８天的ＤＩＧ數(shù)據(jù)作為測試集。通過交叉驗證的方法，獲取最優(yōu)參數(shù)，即ｃ＝８．０，ｇ＝０．５。采用Ｔｈｏｒｓｔｅｎ Ｈｏｌｚ的線性劃分方法與本文的算法來對比，如表３所示。

由表３可知，采用Ｔｈｏｒｓｔｅｎ Ｈｏｌｚ線性劃分的方法產(chǎn)生了２３３個誤報，比ＳＶＭ多２３１個。但是這種方法沒有漏報的域名，而采用ＳＶＭ算法產(chǎn)生了兩個漏報的域名。

兩種方法誤報的一些域名如表４所示。由表可知，一些正常的域名，域名映射的ＩＰ數(shù)量非常大，并散布得非常廣，具有Ｆａｓｔ－ｆｌｕｘ的特征。想要對其進(jìn)一步區(qū)分，要采用域名的注冊時間這一特征。一般而言，Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的域名都是新注冊的，而正常域名的注冊時間都比較早。如正常域名ｅｕｒｏｐｅ．ｐｏｏｌ．ｎｔｐ．ｏｒｇ是在１９９７－０１－１８注冊的，而Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名ｓｄｌｌｓ．ｒｕ的注冊時間為２０１１－０５－１１。但是也有例外，如表５中的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名ｓｅｎｄ－ｓａｆｅ．ｃｏｍ，在２００１年就已經(jīng)注冊了，不過這個域名在２０１１－０５－０４進(jìn)行了更新。

表５顯示的是采用ＳＶＭ的方法漏報的兩個域名。通過進(jìn)一步研究發(fā)現(xiàn)，ｓｅｎｄ－ｓａｆｅ．ｃｏｍ漏報是因為這個僵尸網(wǎng)絡(luò)不夠活躍，處于消亡期。在對其的跟蹤過程中，該域名一共有１６個ＩＰ地址，這１６個ＩＰ地址分布在４個國家和７個自治系統(tǒng)中，和很多正常的域名具有相同的特征。而對于ｓｄｌｌｓ．ｒｕ這個域名，產(chǎn)生漏報的主要原因是訓(xùn)練樣本中，兩種類別的數(shù)據(jù)不平衡，Ｆａｓｔ－ｆｌｕｘ的數(shù)據(jù)比較少，對Ｆａｓｔ－ｆｌｕｘ特征訓(xùn)練不夠，出現(xiàn)了過擬合的現(xiàn)象。

４結(jié)束語

本文通過對Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)長期分析研究，選取了Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)的六個典型特征，采用ＳＶＭ的方法對Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)進(jìn)行檢測，獲得了較小的誤報率和較高的準(zhǔn)確率。但是，由于Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名的樣本比較小，為了進(jìn)一步降低漏報率，下一步的工作將是采集更大的Ｆａｓｔ－ｆｌｕｘ僵尸網(wǎng)絡(luò)域名的數(shù)據(jù)集，提高分類器的能力。

參考文獻(xiàn)：

[１] ＨＯＬＺ Ｔ，ＧＯＲＥＣＫＩ Ｃ，ＲＩＥＣＫ Ｋ，ｅｔ ａｌ． Ｍｅａｓｕｒｉｎｇ ａｎｄ Ｄｅｔｅｃｔ－ ｉｎｇ Ｆａｓｔ－Ｆｌｕｘ Ｓｅｒｖｉｃｅ Ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｎｅｔｗｏｒｋ ＆ Ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙ－ ｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ，２００８．

[２] ＣＨＯＩ Ｈ，ＬＥＥ Ｈａｎｗｏｏ，ＬＥＥ Ｈｅｅｊｏ， ｅｔ ａｌ． Ｂｏｔｎｅｔ Ｄｅｔｅｃｔｉｏｎ ｂｙ Ｍｏｎｉｔｏｒｉｎｇ Ｇｒｏｕｐ Ａｃｔｉｖｉｔｉｅｓ ｉｎ ＤＮＳ Ｔｒａｆｆｉｃ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆＩＥＥＥ Ｉｎｔ’ｌ Ｃｏｎｆ． Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ， ２００７： ７１５－７２０．

[３] ＣＨＯＩ Ｈ，ＬＥＥ Ｈ，ＫＩＭ Ｈ． ＢｏｔＧＡＤ： ｄｅｔｅｃｔｉｎｇ ｂｏｔｎｅｔｓ ｂｙ ｃａｐ－ ｔｕｒｉｎｇ ｇｒｏｕｐ ａｃｔｉｖｉｔｉｅｓ ｉｎ ｎｅｔｗｏｒｋ ｔｒａｆｆｉｃ[Ｃ]／／ Ｔｈｅ Ｆｏｕｒｔｈ Ｉｎｔｅｒ－ ｎａｔｉｏｎａｌ ＩＣＳＴ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｙｓｔｅｍ ｓｏｆｔｗａｒｅ ａ－ ｎｄ ｍｉｄｄｌｅｗａｒｅ． ＡＣＭ， ２００９：１－８．

[４] ＸＵ Ｓｈｏｕｈｕａｉ． Ａｎａｌｙｚｉｎｇ ＤＮＳ Ａｃｔｉｖｉｔｉｅｓ ｏｆ Ｂｏｔ Ｐｒｏｃｅｓｓｅｓ[Ｃ]／／４ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｍａｌｉｃｉｏｕｓ ａｎｄ Ｕｎｗａｎｔｅｄ Ｓｏｆｔ－ ｗａｒｅ， ２００９： ９８－１０３．

[５] ＴＡＫＥＭＯＲＩ Ｋ． Ｄｅｔｅｃｔｉｏｎ ｏｆ ＮＳ Ｒｅｓｏｕｒｃｅ Ｒｅｃｏｒｄ Ｂａｓｅｄ ＤＮＳＱｕｅｒｙ Ｒｅｑｕｅｓｔ Ｐａｃｋｅｔ Ｔｒａｆｆｉｃ ａｎｄ ＳＳＨ Ｄｉｃｔｉｏｎａｒｙ Ａｔｔａｃｋ Ａｃ－ ｔｉｖｉｔｙ[Ｃ]／／ Ｉｎｔｅｌｌｉｇｅｎｔ Ｎｅｔｗｏｒｋｓ ａｎｄ Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｙｓｔｅｍｓ， ２００９：２－ ４６－２４９．

[６] ＲＯＭＡＡ Ｄ Ａ Ｌ，ＫＵＢＯＴＡ Ｓ． ＤＮＳ Ｂａｓｅｄ Ｓｐａｍ Ｂｏｔｓ Ｄｅｔｅｃｔｉｏｎ ｉｎ ａ Ｕｎｉｖｅｒｓｉｔｙ[Ｃ]／／ Ｉｎｔｅｌｌｉｇｅｎｔ Ｎｅｔｗｏｒｋｓ ａｎｄ Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｙｓｔｅｍ－ ｓ，２００８： ２０５－２０８．

[７] ＮＡＺＡＲＩＯ Ｊ， ＨＯＬＺ Ｔ． Ａｓ ｔｈｅ Ｎｅｔ Ｃｈｕｒｎｓ： Ｆａｓｔ－Ｆｌｕｘ ＢｏｔｎｅｔＯｂｓｅｒｖａｔｉｏｎｓ[Ｃ]／／ ３ｒｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍａｌｉｃｉｏｕｓ ａｎｄ Ｕｎｗａｎｔｅｄ Ｓｏｆｔ－ ｗａｒｅ， ２００８： ２４－３１．

[８] ＺＨＯＵ Ｃｈｅｎｆｅｎｇ，ＫＡＲＵＮＡＳＥＫＥＲＡ Ｃ，ＰＥＮＧ Ｓ Ｔ． Ａ Ｓｅｌｆ－Ｈｅ－ ａｌｉｎｎｇ， Ｓｅｌｆ－Ｐｒｏｔｅｃｔｉｎｇ Ｃｏｌｌａｂｏｒａｔｉｖｅ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ａｒｃｈ－ ｉｔｅｃｔｕｒｅ ｔｏ Ｔｒａｃｅ－Ｂａｃｋ Ｆａｓｔ－Ｆｌｕｘ Ｐｈｉｓｈｉｎｇ Ｄｏｍａｉｎｓ[Ｃ]／／ ＩＥＥＥＮＯＭＳ Ｗｏｒｋｓｈｏｐｓ， ２００８： ３２１－３２７．

[９] ＣＡＧＬＡＹＡＮ Ａ，ＴＯＯＴＨＡＫＥＲ Ｍ，ＤＲＡＰＥＡＵ Ｄ， ｅｔ ａｌ． Ｒｅａｌ－ ｔｉｍｅ ｄｅｔｅｃｔｉｏｎ ｏｆ ｆａｓｔ ｆｌｕｘ ｓｅｒｖｉｃｅ ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｃｏｎｆｅｒｅｎｃｅ Ｆｏｒ Ｈｏｍｅｌａｎｄ Ｓｅｃｕｒｉｔｙ， Ｃｙｂｅｒｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ， ２００９： ２８５－２９２．

[１０] ＣＡＧＬＡＹＡＮ Ａ，ＴＯＯＴＨＡＫＥＲ Ｍ，ＤＲＡＰＥＡＵ Ｄ， ｅｔ ａｌ． Ｂｅｈａ－ｖｉｏｒａｌ Ｐａｔｔｅｒｎｓ ｏｆ Ｆａｓｔ Ｆｌｕｘ Ｓｅｒｖｉｃｅ Ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｃｙｂｅｒ Ｓｅｃｕ－ｒｉｔｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｔｒａｃｋ． Ｈａｗａｉｉ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃ－ｏｎｆｅｒｅｎｃｅ ｏｎ Ｓｙｓｔｅｍ Ｓｃｉｅｎｃｅｓ， ２０１０：１－９．

[１１] ＰＡＳＳＥＲＩＮＩ Ｅ，ＰＡＬＥＡＲＩ Ｒ，ＭＡＲＴＩＧＮＯＮＩ Ｌ， ｅｔ ａｌ． Ｆｌｕｘｏｒ： ｄｅｔｅｃｔｉｎｇ ａｎｄ ｍｏｎｉｔｏｒｉｎｇ ｆａｓｔ－ｆｌｕｘ ｓｅｒｖｉｃｅ ｎｅｔｗｏｒｋｓ[Ｃ]／／ ５ｔｈ Ｃ－ｏｎｆｅｒｅｎｃｅ ｏｎ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｉｎｔｒｕｓｉｏｎｓ ａｎｄ Ｍａｌｗａｒｅ ＆ Ｖｕｌｎｅｒａ－ｂｉｌｉｔｙ Ａｓｓｅｓｓｍｅｎｔ． Ｓｐｒｉｎｇｅｒ， ２００８： ５１３７／２００８：１８６－２０６．

[１２] ＹＡＮＧ Ｗａｎｇ． Ｆａｓｔ－ｆｌｕｘ服務(wù)網(wǎng)絡(luò)檢測方法研究[Ｄ]． ＣＮＫＩ， ２－００９．

[１３] ＷＵ Ｊｉａｙａｎ，ＺＨＡＮＧ Ｌｉｗｅｉ，ＱＵ Ｓｈｅｎｇ， ｅｔ ａｌ． Ａ ｃｏｍｐａｒａｔｉｖｅ ｓｔｕｄｙ ｆｏｒ ｆａｓｔ－ｆｌｕｘ ｓｅｒｖｉｃｅ ｎｅｔｗｏｒｋｓ ｄｅｔｅｃｔｉｏｎ[Ｃ]／／ Ｎｅｔｗｏｒｋｅｄ Ｃｏｍｐｕｔｉｎｇ ａｎｄ Ａｄｖａｎｃｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｍａｎａｇｅｍｅｎｔ． Ｓｉｘｔｈ Ｉｎｔｅ－ｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ， ２０１０：３４６－３５０．

[１４] Ａｂｕｓｅ．ｃｈ． ｈｔｔｐ：／／ｗｗｗ．ａｂｕｓｅ．ｃｈ／ ．