一种融合字词双通道的Domain-Flux僵尸网络检测方法

作者：李晓冬^*; 宋元凤; 李育强

来源：计算机科学, 2023, 50(12): 337-342.

• Domain-Flux
• 僵尸网络
• TF-IDF
• 卷积神经网络
• 双向长短期记忆网络

Domain-Flux是僵尸网络中常用的一种命令与控制信道隐蔽技术，其能有效躲避网络安全设备的检测。针对现有检测方法中对Domain-Flux域名信息提取不全面，无法有效捕获词典类域名关键分类特征的问题，提出了一种融合字词双通道的Domain-Flux僵尸网络检测方法。在字符向量和词根向量两个通道上分别采用卷积神经网络(CNN)和双向长短期记忆网络(BiLSTM)提取局部特征和全局特征，丰富输入域名的特征信息，提升分类性能。其中，字符向量通道针对随机字符域名提取局部空间特征，而词根向量通道基于TF-IDF算法，引入类内因子将词根重要性加权到词向量中，然后提取域名单词组合序列前后的时序特征。实验结果表明，与单一采用TextCNN或BiLSTM的模型相比，融合字词双通道的模型检测准确率分别提高7.12%和5.86%,针对词典类Domain-Flux的检测也具有更高的精确率。

• 单位
  电子科技大学