15、异常DNS流量检测与异构联邦学习算法研究

异常DNS流量检测与异构联邦学习算法研究

在当今数字化时代，网络安全问题日益严峻，异常DNS流量检测和联邦学习技术成为了研究的热点。本文将介绍一种自动调优的DBSCAN算法用于异常DNS流量检测，以及一种基于区块链和模型蒸馏的异构联邦学习算法，旨在解决传统方法中存在的问题。

异常DNS流量检测：AutoRoC - DBSCAN算法

传统的无监督机器学习算法虽无需训练阶段，但评估其性能需要有标签的数据集。先前使用的Botsv1数据集存在诸多缺陷，如缺乏初始原始数据、特征计算过程未描述、架构和工具缺失以及特征数量有限等，难以用于重现或改进以比较异常检测算法的性能。因此，研究团队决定创建自己的数据集。

新的DNS隧道数据集构建

为构建包含正常和隧道DNS流量的数据集，研究团队搭建了一个虚拟机基础设施，其中包含进行DNS隧道连接所需的所有组件。网络拓扑结构如下：
- 内部本地网络包含正常和受感染的客户端。
- DMZ网络包含DNS解析器，同时为简化，Dnscat2和Dns2tcp的C&C服务器也部署在此。

正常流量通过Chrome和Firefox随机访问100个不同网站产生，而恶意DNS流量则由Dnscat2和Dns2tcp等工具组合生成，例如在受感染机器上执行“exec cal”或上传/下载文件。不同类型流量的记录数量如下表所示：
| 流量类型 | 记录数量 |
| — | — |
| Chrome | 124158 |
| Firefox | 223858 |
| Dnscat2 | 353604 |
| Dns2tcp | 445097 |