Moderna botnet trender har lett till användning av IP och domän snabb-fluxing för att undvika upptäckt och öka motståndskraften. Dessa tekniker kringgår traditionella detektionssystem såsom svarta listor och system för att upptäcka intrång. Domännamnstjänsten (DNS) är ett av de vanligaste protokollen på moderna nätverk och är avgörande för en korrekt drift av många nätverksaktiviteter, inklusive botnetaktivitet. DNS utgör därför den idealiska kandidaten för övervakning, upptäckt och begränsning av botnetaktivitet. I detta papper ett system som placeras vid nätverkskanten är utvecklad med förmågan att upptäcka snabb-flux domäner med hjälp av DNS-frågor. Flera domänfunktioner undersöktes för att avgöra vilket som skulle vara mest effektivt i klassificeringen av domäner. Detta uppnås med hjälp av en C5.0 beslut träd klassificerare och Bayesian statistik, med positiva prover som betecknas som potentiellt skadliga och negativa prover som legitima domäner. Systemet upptäcker skadliga domännamn med en hög grad av noggrannhet, minimera behovet av svarta listor. Statistiska metoder, nämligen Naive Bayesian, Bayesian, Total Variation avstånd och Sannolikhet distribution tillämpas för att upptäcka skadliga domännamn. Detektionstekniker testas mot provtrafik och det visas att skadlig trafik kan upptäckas med låga falska positiva hastigheter.
På liknande sätt, Stalmans m.fl. REF använde C5.0 beslut träd metod och Bayesian statistik för att klassificera automatiskt genererade domännamn med legitima domännamn.
A framework for DNS based detection and mitigation of malware infections on a network
{'venue': '2011 Information Security for South Africa', 'journal': '2011 Information Security for South Africa', 'mag_field_of_study': ['Computer Science']}