基于SVM的Fast-flux僵尸网络检测技术研究

来源:用户上传      作者: 康乐 李东 余翔湛

　　摘要： 近些年出现的采用Ｆａｓｔ－ｆｌｕｘ技术的僵尸网络，给网络安全带来了极大的威胁。因此，有效检测Ｆａｓｔ－ｆｌｕｘ僵尸网络就成为网络安全研究者关注的热点问题。目前的检测方法都存在误报率较高的问题。针对这个不足，通过对Ｆａｓｔ－ｆｌｕｘ僵尸网络数据进行分析，选取Ｆａｓｔ－ｆｌｕｘ僵尸网络的六个典型特征，提出了基于ＳＶＭ的Ｆａｓｔ－ｆｌｕｘ僵尸网络的检测方法。实验表明，基于ＳＶＭ的Ｆａｓｔ－ｆｌｕｘ僵尸网络检测方法明显地降低误报率。
　　关键词：
　　中图分类号： ＴＰ３９３ 文献标识码：Ａ 文章编号：２０９５－２１６３（２０１１）０１－００２４－０４
　　
　　０引言
　　僵尸网络能够实行ＤＤＯＳ、垃圾邮件、窃取个人信息、网络仿冒等攻击行为，对网络安全产生了极大的危害。因此，越来越多的研究者开始研究僵尸网络。研究表明，为了提高网络的健壮性和存活率，僵尸网络普遍采用Ｆａｓｔ－ｆｌｕｘ技术[１]。
　　Ｆａｓｔ－ｆｌｕｘ技术是为一个域名配置多个ＩＰ地址，并且这些ＩＰ地址以非常快的频率更换，从而实现域名到ＩＰ地址的动态映射。通过动态变换ＩＰ地址，每次用户访问某个域名时，实际上访问的并不是同一主机。利用此特征，僵尸网络控制者可以将其控制的肉鸡中服务能力比较强、具有公有ＩＰ的肉鸡作为代理，其他一些服务能力比较弱的主机通过与这些代理通信，代理将通信重定向到后面真正的控制者，完成控制者与肉鸡的通信过程。僵尸网络控制者通过频繁的更换域名到代理ＩＰ的映射，从代理网络中剔除不可用的以及服务能力较弱的代理，提高网络的健壮性和可用性。
　　１相关工作
　　１．１传统僵尸网络检测方法
　　Ｈｙｕｎｓａｎｇ Ｃｈｏｉ，Ｈａｎｗｏｏ Ｌｅｅ等人提出基于僵尸网络ＤＮＳ查询群体性特征的检测方法[２－３]。该方法通过对校园网ＤＮＳ数据分析发现：在僵尸网络活跃时，受控主机将同时发出ＤＮＳ查询这一群体性特征。但是，这种方法不能区分迅雷、ＢＴ等下载站点，因为当客户端同时下载一个资源时，也具有相同的行为。
　　Ｓｈｏｕｈｕａｉ Ｘｕ、Ｒａｖｉ Ｓａｎｄｈｕ等人提出一种基于主机ＤＮＳ访问与网页访问关系的僵尸网络检测方法[４]。这种方法需要获取大量主机页面访问的数据以及ＤＮＳ访问数据，并且需要将两种数据组合。数据量巨大，在大规模的网络中实现困难。
　　Ｋａｚｕｙａ Ｔａｋｅｍｏｒｉ等人提出基于信息熵理论的僵尸网络检测方法。该方法通过分析一段时间的校园网ＤＮＳ数据发现：当僵尸网络活跃时，某些域名的熵发生了剧烈变化[５－６]。但是Ｋａｚｕｙａ Ｔａｋｅｍｏｒｉ等人的方法在某些网站访问量剧增的时候会出现误报。如：２００８年北京奥运会开幕式当天，奥运会官网的访问量变化非常剧烈。
　　１．２Ｆａｓｔ－ｆｌｕｘ僵尸网络检测方法
　　Ｊｏｓｅ Ｎａｚａｒｉｏ等人对Ｆａｓｔ－ｆｌｕｘ僵尸网络进行长期观察，提出了Ｆａｓｔ－ｆｌｕｘ僵尸网络的九个基本特征，并详细分析了Ｆａｓｔ－ｆｌｕｘ僵尸网络的地域分布、生存时间、网络大小等基本特征[７]。Ｔｈｏｒｓｔｅｎ Ｈｏｌｚ利用已经发现的Ｆａｓｔ－ｆｌｕｘ僵尸网络的特征，采用线性划分的方法将Ｆａｓｔ－ｆｌｕｘ服务和ＲＲＤＮＳ（轮转域名系统）、ＣＤＮ（内容分发网络）相区分，获得了很好的效果[１]。
　　Ｃｈｅｎｆｅｎｇ Ｖｉｎｃｅｎｔ Ｚｈｏｕ等人提出了一种分布式入侵检测系统对采用Ｆａｓｔ－ｆｌｕｘ 技术的钓鱼网站的检测方法[８]。但是该方法需要各地的ＩＤＳ都得和其他ＩＤＳ交换数据来检测Ｆａｓｔ－ｆｌｕｘ域名，并不能在前端检测。
　　Ａｌｐｅｒ Ｃａｇｌａｙａｎ等人采用主动和被动方式实现ＦＦＳＮ的实时监测[９－１０]，但是其所采用的数据都是在非常小的时间段内获取的，如果某个网站将其服务迁移到不同的机器，将出现误报。
　　Ｅｍａｎｕｅｌｅ Ｐａｓｓｅｒｉｎｉ等利用ＦＦＳＮ（Ｆａｓｔ－ｆｌｕｘ服务网络）的九个特征，采用朴素贝叶斯算法，对ＦＦＳＮ进行检测[１１]。
　　Ｙａｎｇ Ｗａｎｇ利用僵尸网络ＩＰ数和ＡＳ（自治系统）数两个特征，采用ＳＶＭ对ＦＦＳＮ服务进行检测[１２]，取得了很好的效果。但因其只采用了９０个正常域名，３９个Ｆａｓｔ－ｆｌｕｘ域名的数据集，而数据集太小，则无法代表网络中的真实环境。
　　Ｊｉａｙａｎ Ｗｕ等人对现有的线性划分、ＫＮＮ（Ｋ最近邻）和朴素贝叶斯的ＦＦＳＮ检测方法进行了对比[１３]。
　　本文通过对哈尔滨工业大学两台ＤＮＳ服务器的长期数据进行分析，选取了Ｆａｓｔ－ｆｌｕｘ僵尸网络的六个典型特征，采用线性核函数的ＳＶＭ方法对Ｆａｓｔ－ｆｌｕｘ僵尸网络进行检测，取得了比较好的效果。
　　２特征选取及ＳＶＭ算法选取
　　２．１Ｆａｓｔ－ｆｌｕｘ特征选取
　　本文中，用来区分Ｆａｓｔ－ｆｌｕｘ僵尸网络域名和正常域名选取的特征如表１所示，特征主要分为三大类。第一类是域名的特征，第二类是网络特征，第三类是代理的分布特征。
　　（１）ＴＴＬ特征
　　Ｆａｓｔ－ｆｌｕｘ僵尸网络为了提高健壮性，会频繁地变换ＩＰ地址。为了做到这一点，僵尸网络控制者会将ＤＮＳ缓存的时间设置的比较小，以便当控制者改变ＩＰ地址时，被控机器能及时地连上控制主机，因此，Ｆａｓｔ－ｆｌｕｘ僵尸网络域名的ＴＴＬ都会比较小。对于一些采用ＣＤＮ，或者ＲＲＤＮＳ技术的大型网站，其缓存时间ＴＴＬ也会比较小，但是，还可以采用剩下的五个特征来区分。
　　图１为２０１１－０３－１８到２０１１－０３－２１哈尔滨工业大学２０２．１１８．２２４．１０１上捕获的３７５ ８８５个Ａ类查询的权威回答域名的ＴＴＬ分布。由图１可知，对于Ａ类应答，ＴＴＬ小于等于６００Ｓ的域名为２３．９８％， ＴＴＬ小于３００Ｓ的占９．６３％。Ｆａｓｔ－ｆｌｕｘ技术的基本特征就是会频繁地更换ＩＰ地址，一般的ＴＴＬ都小于６００Ｓ，因此若只对ＴＴＬ小于６００Ｓ的域名进行分析，可以大大减少数据量和工作量。
　　（２）单个域名Ａ记录ＩＰ个数特征
　　Ｆａｓｔ－ｆｌｕｘ僵尸网络每隔一段时间都会更新一下其代理机器，因此，在一段时间内，Ｆａｓｔ－ｆｌｕｘ僵尸网络域名查询得到的ＩＰ地址会持续的增加，累计得到的ＩＰ数也会非常大。
　　而对于正常的域名，提供服务的机器是固定的。因此，得到的ＩＰ地址一段时间之后会稳定不变，并且ＩＰ地址的个数比较小。图２和图３分别显示了僵尸网络域名和正常域名ＩＰ地址的增长情况。
　　（３）ＩＰ所属自治域特征
　　表２显示的四个典型Ｆａｓｔ－ｆｌｕｘ僵尸网络域名与正常域名得到ＩＰ所属自治域的对比。由表２可知，Ｆａｓｔ－ｆｌｕｘ僵尸网络域名获取的ＩＰ所属的自治域都比较多，分布在几十甚至上百个不同的自治域中；而对于正常的域名来说，ＩＰ地址一般都分布在一个自治域中。
　　（４）ＩＰ所属国家特征
　　表２显示的是四个典型的Ｆａｓｔ－ｆｌｕｘ僵尸网络和四个访问量比较大的域名所属国家的对比。由表２可知，采用Ｆａｓｔ－ｆｌｕｘ技术的僵尸网络来说，受感染主机的分布影响，用来做代理的主机将分布在不同的国家，而正常的ＦＦＳＮ服务或者正常的域名的ＩＰ一般都在一个国家中或少数几个国家中。这一特征对区分Ｆａｓｔ－ｆｌｕｘ僵尸网络和正常的Ｆａｓｔ－ｆｌｕｘ服务非常有用。一般正常的Ｆａｓｔ－ｆｌｕｘ服务的ＩＰ地址都属于一个国家，而Ｆａｓｔ－ｆｌｕｘ僵尸网络的ＩＰ地址则分布在不同的国家。

　　（５）其他特征
　　如Ｅｍａｎｕｅｌｅ Ｐａｓｓｅｒｉｎｉ[１１]文中阐述的原因，还采用了域名注册时间、所属组织机构这些特征，作为区分Ｆａｓｔ－ｆｌｕｘ僵尸网络的特征。
　　２．２ＳＶＭ算法选取
　　ＳＶＭ是基于结构风险最小化理论，在特征空间中建构最优分割超平面，使得学习器得到全局最优化，并且整个样本空间的期望风险以某个概率满足一定上界。支持向量机的目标就是要根据结构风险最小化原理，构造一个目标函数将两类模式尽可能地区分开来。
　　通常分为两类情况来讨论：（１）线性可分；（２）线性不可分。
　　对于本文选取的六个特征，对应于Ｆａｓｔ－ｆｌｕｘ僵尸网络域名和正常域名的划分，这是一个线性可分的问题。对应于线性可分问题，采用ＳＶＭ，会存在一个超平面使得训练样本完全分开。该超平面可描述为：
　　ｇ（ｘ）＝ｗｔｘ＋ｗ０ （１）
　　其中，ｗ是权向量，ｗ０是阈值权或者偏置。对于ｇ（ｘ）＞０，则该样本在决策面的上方；反之，则在决策面的下方。
　　最优超平面是使得每一类数与超平面距离最近的向量与超平面之间的距离最大的平面，即要求使公式（２）最小化的ｗ。
　　３实验验证
　　本文中所采用的数据来自于ｔｃｐｄｕｍｐ捕获的哈尔滨工业大学两台ＤＮＳ服务器从２０１１－０３－１８Ｔ１２－４１－００到２０１１－０４－０１Ｔ０８－２３－００的所有ＤＮＳ查询应答数据１２０Ｇ和采用ＤＩＧ跟踪的一些Ｆａｓｔ－ｆｌｕｘ僵尸网络的ＤＩＧ数据。
　　本文将２０１１－０１－０９到２０１１－０３－１８的ＤＮＳ数据和２０１１－０１－０９到２０１１－０３－１８的５５个Ｆａｓｔ－ｆｌｕｘ僵尸网络域名[１４]的ＤＩＧ数据作为训练集。将２０１１－０３－１８到２０１１－０４－０１的ＤＮＳ数据以及２０１１－０３－１８活跃的８个Ｆａｓｔ－ｆｌｕｘ僵尸网络域名的ＤＩＧ数据作为测试集。
　　因为数据量巨大，每天都有超过１ ０００万条查询，所以，对数据进行预处理，只考虑一段时间内累计ＩＰ数大于４或者ＩＰ 对应的自治域或国家数大于２的域名。因为对于域名ＩＰ数比较小，并且都在同一国家和自治域的域名，不可能是采用Ｆａｓｔ－ｆｌｕｘ技术的域名。
　　对训练集进行预处理之后，剩余９ ９４５个域名，通过人工验证的方法，对其进行标记。５５个Ｆａｓｔ－ｆｌｕｘ域名ＤＩＧ跟踪得到３２个仍然活跃的Ｆａｓｔ－ｆｌｕｘ僵尸网络域名。将以上数据作为训练集。
　　对测试集进行预处理之后，剩余１９ ７５３个域名，并加入８个Ｆａｓｔ－ｆｌｕｘ僵尸网络域名８天的ＤＩＧ数据作为测试集。通过交叉验证的方法，获取最优参数，即ｃ＝８．０，ｇ＝０．５。采用Ｔｈｏｒｓｔｅｎ Ｈｏｌｚ的线性划分方法与本文的算法来对比，如表３所示。
　　由表３可知，采用Ｔｈｏｒｓｔｅｎ Ｈｏｌｚ线性划分的方法产生了２３３个误报，比ＳＶＭ多２３１个。但是这种方法没有漏报的域名，而采用ＳＶＭ算法产生了两个漏报的域名。
　　两种方法误报的一些域名如表４所示。由表可知，一些正常的域名，域名映射的ＩＰ数量非常大，并散布得非常广，具有Ｆａｓｔ－ｆｌｕｘ的特征。想要对其进一步区分，要采用域名的注册时间这一特征。一般而言，Ｆａｓｔ－ｆｌｕｘ僵尸网络的域名都是新注册的，而正常域名的注册时间都比较早。如正常域名ｅｕｒｏｐｅ．ｐｏｏｌ．ｎｔｐ．ｏｒｇ是在１９９７－０１－１８注册的，而Ｆａｓｔ－ｆｌｕｘ僵尸网络域名ｓｄｌｌｓ．ｒｕ的注册时间为２０１１－０５－１１。但是也有例外，如表５中的Ｆａｓｔ－ｆｌｕｘ僵尸网络域名ｓｅｎｄ－ｓａｆｅ．ｃｏｍ，在２００１年就已经注册了，不过这个域名在２０１１－０５－０４进行了更新。
　　表５显示的是采用ＳＶＭ的方法漏报的两个域名。通过进一步研究发现，ｓｅｎｄ－ｓａｆｅ．ｃｏｍ漏报是因为这个僵尸网络不够活跃，处于消亡期。在对其的跟踪过程中，该域名一共有１６个ＩＰ地址，这１６个ＩＰ地址分布在４个国家和７个自治系统中，和很多正常的域名具有相同的特征。而对于ｓｄｌｌｓ．ｒｕ这个域名，产生漏报的主要原因是训练样本中，两种类别的数据不平衡，Ｆａｓｔ－ｆｌｕｘ的数据比较少，对Ｆａｓｔ－ｆｌｕｘ特征训练不够，出现了过拟合的现象。
　　４结束语
　　本文通过对Ｆａｓｔ－ｆｌｕｘ僵尸网络长期分析研究，选取了Ｆａｓｔ－ｆｌｕｘ僵尸网络的六个典型特征，采用ＳＶＭ的方法对Ｆａｓｔ－ｆｌｕｘ僵尸网络进行检测，获得了较小的误报率和较高的准确率。但是，由于Ｆａｓｔ－ｆｌｕｘ僵尸网络域名的样本比较小，为了进一步降低漏报率，下一步的工作将是采集更大的Ｆａｓｔ－ｆｌｕｘ僵尸网络域名的数据集，提高分类器的能力。
　　
　　参考文献：
　　[１] ＨＯＬＺ Ｔ，ＧＯＲＥＣＫＩ Ｃ，ＲＩＥＣＫ Ｋ，ｅｔ ａｌ． Ｍｅａｓｕｒｉｎｇ ａｎｄ Ｄｅｔｅｃｔ－ ｉｎｇ Ｆａｓｔ－Ｆｌｕｘ Ｓｅｒｖｉｃｅ Ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｎｅｔｗｏｒｋ ＆ Ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙ－ ｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ，２００８．
　　[２] ＣＨＯＩ Ｈ，ＬＥＥ Ｈａｎｗｏｏ，ＬＥＥ Ｈｅｅｊｏ， ｅｔ ａｌ． Ｂｏｔｎｅｔ Ｄｅｔｅｃｔｉｏｎ ｂｙ Ｍｏｎｉｔｏｒｉｎｇ Ｇｒｏｕｐ Ａｃｔｉｖｉｔｉｅｓ ｉｎ ＤＮＳ Ｔｒａｆｆｉｃ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆＩＥＥＥ Ｉｎｔ’ｌ Ｃｏｎｆ． Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ， ２００７： ７１５－７２０．
　　[３] ＣＨＯＩ Ｈ，ＬＥＥ Ｈ，ＫＩＭ Ｈ． ＢｏｔＧＡＤ： ｄｅｔｅｃｔｉｎｇ ｂｏｔｎｅｔｓ ｂｙ ｃａｐ－ ｔｕｒｉｎｇ ｇｒｏｕｐ ａｃｔｉｖｉｔｉｅｓ ｉｎ ｎｅｔｗｏｒｋ ｔｒａｆｆｉｃ[Ｃ]／／ Ｔｈｅ Ｆｏｕｒｔｈ Ｉｎｔｅｒ－ ｎａｔｉｏｎａｌ ＩＣＳＴ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｙｓｔｅｍ ｓｏｆｔｗａｒｅ ａ－ ｎｄ ｍｉｄｄｌｅｗａｒｅ． ＡＣＭ， ２００９：１－８．
　　[４] ＸＵ Ｓｈｏｕｈｕａｉ． Ａｎａｌｙｚｉｎｇ ＤＮＳ Ａｃｔｉｖｉｔｉｅｓ ｏｆ Ｂｏｔ Ｐｒｏｃｅｓｓｅｓ[Ｃ]／／４ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｍａｌｉｃｉｏｕｓ ａｎｄ Ｕｎｗａｎｔｅｄ Ｓｏｆｔ－ ｗａｒｅ， ２００９： ９８－１０３．
　　[５] ＴＡＫＥＭＯＲＩ Ｋ． Ｄｅｔｅｃｔｉｏｎ ｏｆ ＮＳ Ｒｅｓｏｕｒｃｅ Ｒｅｃｏｒｄ Ｂａｓｅｄ ＤＮＳＱｕｅｒｙ Ｒｅｑｕｅｓｔ Ｐａｃｋｅｔ Ｔｒａｆｆｉｃ ａｎｄ ＳＳＨ Ｄｉｃｔｉｏｎａｒｙ Ａｔｔａｃｋ Ａｃ－ ｔｉｖｉｔｙ[Ｃ]／／ Ｉｎｔｅｌｌｉｇｅｎｔ Ｎｅｔｗｏｒｋｓ ａｎｄ Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｙｓｔｅｍｓ， ２００９：２－ ４６－２４９．
　　[６] ＲＯＭＡＡ Ｄ Ａ Ｌ，ＫＵＢＯＴＡ Ｓ． ＤＮＳ Ｂａｓｅｄ Ｓｐａｍ Ｂｏｔｓ Ｄｅｔｅｃｔｉｏｎ ｉｎ ａ Ｕｎｉｖｅｒｓｉｔｙ[Ｃ]／／ Ｉｎｔｅｌｌｉｇｅｎｔ Ｎｅｔｗｏｒｋｓ ａｎｄ Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｙｓｔｅｍ－ ｓ，２００８： ２０５－２０８．

　　[７] ＮＡＺＡＲＩＯ Ｊ， ＨＯＬＺ Ｔ． Ａｓ ｔｈｅ Ｎｅｔ Ｃｈｕｒｎｓ： Ｆａｓｔ－Ｆｌｕｘ ＢｏｔｎｅｔＯｂｓｅｒｖａｔｉｏｎｓ[Ｃ]／／ ３ｒｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍａｌｉｃｉｏｕｓ ａｎｄ Ｕｎｗａｎｔｅｄ Ｓｏｆｔ－ ｗａｒｅ， ２００８： ２４－３１．
　　[８] ＺＨＯＵ Ｃｈｅｎｆｅｎｇ，ＫＡＲＵＮＡＳＥＫＥＲＡ Ｃ，ＰＥＮＧ Ｓ Ｔ． Ａ Ｓｅｌｆ－Ｈｅ－ ａｌｉｎｎｇ， Ｓｅｌｆ－Ｐｒｏｔｅｃｔｉｎｇ Ｃｏｌｌａｂｏｒａｔｉｖｅ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ａｒｃｈ－ ｉｔｅｃｔｕｒｅ ｔｏ Ｔｒａｃｅ－Ｂａｃｋ Ｆａｓｔ－Ｆｌｕｘ Ｐｈｉｓｈｉｎｇ Ｄｏｍａｉｎｓ[Ｃ]／／ ＩＥＥＥＮＯＭＳ Ｗｏｒｋｓｈｏｐｓ， ２００８： ３２１－３２７．
　　[９] ＣＡＧＬＡＹＡＮ Ａ，ＴＯＯＴＨＡＫＥＲ Ｍ，ＤＲＡＰＥＡＵ Ｄ， ｅｔ ａｌ． Ｒｅａｌ－ ｔｉｍｅ ｄｅｔｅｃｔｉｏｎ ｏｆ ｆａｓｔ ｆｌｕｘ ｓｅｒｖｉｃｅ ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｃｏｎｆｅｒｅｎｃｅ Ｆｏｒ Ｈｏｍｅｌａｎｄ Ｓｅｃｕｒｉｔｙ， Ｃｙｂｅｒｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ， ２００９： ２８５－２９２．
　　[１０] ＣＡＧＬＡＹＡＮ Ａ，ＴＯＯＴＨＡＫＥＲ Ｍ，ＤＲＡＰＥＡＵ Ｄ， ｅｔ ａｌ． Ｂｅｈａ－ｖｉｏｒａｌ Ｐａｔｔｅｒｎｓ ｏｆ Ｆａｓｔ Ｆｌｕｘ Ｓｅｒｖｉｃｅ Ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｃｙｂｅｒ Ｓｅｃｕ－ｒｉｔｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｔｒａｃｋ． Ｈａｗａｉｉ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃ－ｏｎｆｅｒｅｎｃｅ ｏｎ Ｓｙｓｔｅｍ Ｓｃｉｅｎｃｅｓ， ２０１０：１－９．
　　[１１] ＰＡＳＳＥＲＩＮＩ Ｅ，ＰＡＬＥＡＲＩ Ｒ，ＭＡＲＴＩＧＮＯＮＩ Ｌ， ｅｔ ａｌ． Ｆｌｕｘｏｒ： ｄｅｔｅｃｔｉｎｇ ａｎｄ ｍｏｎｉｔｏｒｉｎｇ ｆａｓｔ－ｆｌｕｘ ｓｅｒｖｉｃｅ ｎｅｔｗｏｒｋｓ[Ｃ]／／ ５ｔｈ Ｃ－ｏｎｆｅｒｅｎｃｅ ｏｎ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｉｎｔｒｕｓｉｏｎｓ ａｎｄ Ｍａｌｗａｒｅ ＆ Ｖｕｌｎｅｒａ－ｂｉｌｉｔｙ Ａｓｓｅｓｓｍｅｎｔ． Ｓｐｒｉｎｇｅｒ， ２００８： ５１３７／２００８：１８６－２０６．
　　[１２] ＹＡＮＧ Ｗａｎｇ． Ｆａｓｔ－ｆｌｕｘ服务网络检测方法研究[Ｄ]． ＣＮＫＩ， ２－００９．
　　[１３] ＷＵ Ｊｉａｙａｎ，ＺＨＡＮＧ Ｌｉｗｅｉ，ＱＵ Ｓｈｅｎｇ， ｅｔ ａｌ． Ａ ｃｏｍｐａｒａｔｉｖｅ ｓｔｕｄｙ ｆｏｒ ｆａｓｔ－ｆｌｕｘ ｓｅｒｖｉｃｅ ｎｅｔｗｏｒｋｓ ｄｅｔｅｃｔｉｏｎ[Ｃ]／／ Ｎｅｔｗｏｒｋｅｄ Ｃｏｍｐｕｔｉｎｇ ａｎｄ Ａｄｖａｎｃｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｍａｎａｇｅｍｅｎｔ． Ｓｉｘｔｈ Ｉｎｔｅ－ｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ， ２０１０：３４６－３５０．
　　[１４] Ａｂｕｓｅ．ｃｈ． ｈｔｔｐ：／／ｗｗｗ．ａｂｕｓｅ．ｃｈ／ ．

转载注明来源:https://www.xzbu.com/8/view-45606.htm