dns隧道攻击检测算法：

最近开始接触dns异常检测相关的内容，根据对dns特征提取方式的不同对近几年的dns tunneling攻击检测算法的相关论文进行了分类整理和总结，用于自身的学习回顾。

特征提取有意义：

2017：HARNESSING PREDICTIVE MODELS FOR ASSISTING NETWORK FORENSIC INVESTIGATIONS OF DNS TUNNELS

数据集：

自制数据集（不是原始的pcap文件，是只包含三维特征的文件）：https://dx.doi.org/10.17045/sthlmuni.4229399.v1

构建方法：十折交叉验证

特征向量：

the IP Packet Length, the DNS Query Name Length and the DNS Query Name Entropy.

注意以上特征都是以包为单位而不是以会话为单位进行提取的，对单个包提取以上特征之后将会对整个会话中所有包计算三个值的平均值

提取代码：https://github.com/irvinhomem/TunnelFeatureExtractor

分类器：

KNN、决策树（CART算法）、SVM（Radial Kernel）、多项式神经网络MMM

2018：DNS Tunneling Detection Method Based on Multilabel Support Vector Machine

数据库部分：

公开数据集I. Homem and P. Papapetrou, Harnessing Predictive Models for Assisting Network Forensic Investigations of DNS Tunnels, 2017+自制部分正常数据集（会话划分方式未知）

特征提取部分：

IP包层次特征、传输层特征、应用层特征

特征向量：<DNS请求长度、IP发送包长度、IP响应包长度、编码后的DNS请求名长度、请求应用层信息熵、IP包信息熵、请求名信息熵>

特征离散化：欧几里得距离的K-means算法将多样化的小数离散为有限数值的集合（query本身好像也根据字符相似度做了一个聚类？）

分类器部分

multilabel SVM（kernal SVM）对隧道攻击进行多分类

2019：Detecting abnormal DNS traffic using unsupervised machine learning

数据库：

公开数据集：Botsv1

splunk/botsv1. Splunk GitHub, 2020.

特征向量：

messagetype, transactionid, srcip, src_port, destip, dest_port, bytes, bytesin, bytesout, timejaken, transport, timestamps.

分类器：

四个无监督算法：k-means、GMM、DBSCAN、LOF

2021：A hybrid method of genetic algorithm and support vector machine for DNS tunneling detection

数据集：

Entropy-based Prediction of Network Protocols in the Forensic Analysis of DNS Tunnels

特征提取：

初始特征集->特征离散化->遗传算法选择最优特征向量

初始特征集：DNS request length, IP packet sender length, IP packet response length, encoded DNS query name length, request application layer entropy, IP packet entropy and query name entropy

遗传算法：按照初始特征数量随机一群二进制字符串（每一位代表一个特征的是否纳入考虑）用做GA算法的初始族群，每个conn算一个染色体

分类器：

二分类svm

特征提取无意义：

2019：A Byte-level CNN Method to Detect DNS Tunnels

问题定义：

dns二分类问题：正常or异常

dns包->特征向量->二分类网络

特征提取：

定义数据包长度L（当dns包长于L字节时直接截断，直接截断的方法会不会漏掉后面的重要信息，长度决定是否合理？为什么不直接按照dns包规定的上限512字节对不足者进行填充？，若不足时不足的位置填充值256）
按字节进行one-hot编码：由于每个字节的取值范围为0 ~ 256（本身是0 ~ 255，空值填充为256，则取值范围得到了扩大，一共可以取到257个值），因此每个字节将会转化为一个257维的向量；对整个数据包的每个字节进行one-hot编码后得到一个L×257的矩阵A

one-hot编码：一位有效编码，主要是采用N位状态寄存器来对N个状态进行编码，每个状态都有他独立的寄存器位，并且在任意时候只有一位有效，设置该字符对应的位为1，其他位为0
one-hot编码矩阵存在的问题：
- one-hot vector太大，在深度学习中，巨大的输入向量意味着神经网络的超大数量的权重。如果你的词汇表中有M个单词，并且输入上的网络的第一层中有N个节点，则您需要使用MxN个权重来训练该层。大量的权重会导致进一步的数据量和计算量的问题
- one-hot编码后的向量间缺少有意义的关系。如果将RGB通道的像素值提供给图像分类器，那么谈论“相近”值是有意义的。略带红色的蓝色接近纯蓝色，无论是在语义上还是在向量之间的几何距离方面。但是对于索引1247的1的向量表示的“马”，与索引50,430为1的向量表示的“羚羊”的关系不比索引238为1表示的向量“电视”的更接近。
embending层：为了解决稀疏矩阵的问题，引入embending层，该层的输入是上一步得到的L×257的one-hot编码矩阵A，将该矩阵与一个大小为257×K的embending矩阵B相乘（矩阵B根据矩阵A的统计得到，第i行是A中第i列为1的行的个数，如上图所示），得到一个L×K的输出矩阵C

embedding将大型稀疏向量转换为保留语义关系的低维空间。第一解决了向量空间高维度的问题，第二赋予了单词间几何空间距离大小的实际意义。

分类网络：传统CNN

总结：

特征提取：
以会话为单位：对会话中每个数据包单独提取特征，然后计算特征的平均值作为整个会话的代表
以数据包为单位
信息熵、数据包长度是最经典的特征选择，还可以提取多维特征然后利用算法选择最为有效的特征

分类器部分：

SVM、决策树、CNN、聚类（都是基础的二分类模型）

【论文阅读】DNS隧道攻击检测算法整合相关推荐

dns隧道攻击原理及常用工具流量分析
今天看到一个关于Lyceum组织的文章,这个组织擅长使用dns隧道攻击,这种攻击方式还是头一次听说,于是搜集了一些文章来看看. 原文https://www.cnblogs.com/HighnessDr ...
论文阅读笔记 | 三维目标检测——MV3D算法
如有错误,恳请指出. 文章目录 1. 背景 2. 网络结构 2.1 提案投影网络 2.2 区域融合网络 3. 实验结果 paper:<Multi-View 3D Object Detection ...
【论文阅读】二.Webshell检测方法研究综述
目录一.论文题目二.作者信息三.论文地址四.论文内容 1.webshell检测的分类 2.基于静态文本的检测 3.基于动态行为的检测 4.基于日志分析的监测 5.future works 一. ...
FCOS论文复现：通用物体检测算法
摘要:本案例代码是FCOS论文复现的体验案例,此模型为FCOS论文中所提出算法在ModelArts + PyTorch框架下的实现.本代码支持FCOS + ResNet-101在MS-COCO数据集上 ...
论文阅读笔记 | 三维目标检测——3DSSD
如有错误,恳请指出. 文章目录 1. 背景 2. 网络结构 2.1 特征提取 2.2 边框生成 3. 实验结果 paper:<3DSSD: Point-based 3D Single Stage ...
论文阅读笔记 | 三维目标检测——PointRCNN
如有错误,恳请指出. 文章目录 1. 背景 2. 网络结构 2.1 Proposal Generation 2.2 Proposal Refinement 3. 实验部分 3.1 kitti上的测评 ...
论文阅读笔记 | 三维目标检测——Complex-YOLO算法
如有错误,恳请指出. 文章目录 1. 背景 2. 网路结构 3. 实验结果 paper:<Complex-YOLO: An Euler-Region-Proposal for Real-time ...
论文阅读笔记 | 三维目标检测——PartA2算法
如有错误,恳请指出. 文章目录 0. 前言与补充知识 1. 背景 2. 相关工作 3. 网络结构 3.1 Part-aware stage Anchor-free Proposal Generatio ...
论文阅读笔记 | 三维目标检测——VoxelNet算法
如有错误,恳请指出. 文章目录 1.背景 2. 网络结构 2.1 体素特征表示 2.2 卷积特征提取 2.3 RPN网络 3. 实验结果 paper:<VoxelNet: End-to-End ...
论文阅读笔记 | 三维目标检测——VoxelRCNN算法
如有错误,恳请指出. 文章目录 1. 背景 2. 网络结构 Voxel Query Voxel ROI Pooling Accelerated Aggregation Loss Compute 3. ...

【论文阅读】DNS隧道攻击检测算法整合

dns隧道攻击检测算法：

特征提取有意义：

2017：HARNESSING PREDICTIVE MODELS FOR ASSISTING NETWORK FORENSIC INVESTIGATIONS OF DNS TUNNELS

2018：DNS Tunneling Detection Method Based on Multilabel Support Vector Machine

2019：Detecting abnormal DNS traffic using unsupervised machine learning

2021：A hybrid method of genetic algorithm and support vector machine for DNS tunneling detection

特征提取无意义：

2019：A Byte-level CNN Method to Detect DNS Tunnels

总结：

特征提取：

分类器部分：

【论文阅读】DNS隧道攻击检测算法整合相关推荐

最新文章

热门文章