使用Bigram频率分析的DGA域检测_DGA_Bigram_频率_python_dga-domains

使用高级阻止规避技术创建的恶意软件越来越多。最流行的技术之一是使用域生成算法，它定期生成一组域来联系 C&C 服务器。这些 DGA 域中的大多数生成随机字母数字字符串，这些字符串在结构上与标准域有很大不同。通过查看域中的一组二元组在 Alexa 前 1M 中出现的频率，我们能够检测域是否由随机字符串构成，或者它是否是合法的人类可读域。如果一个域几乎完全由在 Alexa 前 1m 中很少出现的低频二元组组成，那么该域更可能是一个随机字符串。元音和常量的二元组出现频率最高，而字符和整数出现频率最低。该脚本针对 100,000 个 GameoverZeus 域运行，检测率为 100%，针对 Alexa top 1m 的误报率为 8%，而没有应用任何域白名单。 该系统已经在 Ubuntu 和 RaspberryPi 上进行了测试。目前，我使用 Bind9 将我的 raspberrypi 设置为 DNS 服务器。DGA-Detection 脚本也在 raspberrypi 上运行并读取请求。然后处理这些请求以确定它们是否是潜在的 DGA。