域名系统(Domain Name System),简称DNS,是为用户提供域名和IP地址之间的映射服务。在目前互联网遍布广泛的情况下,DNS是不可或缺的一部分。在互联网中,很多应用都需要DNS的支持,DNS的安全性也很大程度上决定了互联网的安全性。从另一个角度来说,DNS的报文中也会包含用户的信息。因此,过滤DNS攻击报文,保证DNS运转的安全性,对于整个互联网系统的安全来说也是至关重要的。目前最为流行的DNS攻击是fast-flux,这是一个搭建在僵尸网络结构上的一种新兴的攻击技术,因为其多层次结构的隐蔽性和健壮性,对网络安全产生了很大的隐患。另外fast-flux的攻击行为和同一网站的多服务器的转换IP的行为类似,更加大了辨别良劣的难度,因此本文将针对fast-flux的DNS报文进行分析,找到区别攻击报文和正常服务报文的方法。在很大程度上提高了算法的精度,且降低了误报率。本文主要论述的内容:(1)熟悉DNS相关协议及其报文结构和内容;在僵尸网络结构的基础上,了解fast-flux的运行机制及其攻击的特性。(2)通过分析fast-flux的难以检测的原因,提出载流均衡和负载躲避两个概念,用于区分fast-flux攻击和大型网站多服务器转换IP的两种类似的行为。(3)通过找到fast-flux相关报文的四个特征,并通过本文的数据加以证明,然后使用针对本文改进的逻辑回归算法,计算出每个出现过的域名对应的恶意概率并对本文实验进行评估。