本书从原理、方法和实践应用三个角度出发，分别介绍了基于Fast-Flux与DNS失效特征、基于DGA恶意域名、基于DNS隐蔽隧道、基于深度学习特征的僵尸网络检测，以及针对僵尸网络的追踪溯源。本书还详细介绍了如何将知识图谱、反馈学习、图神经网络、生成式对抗网络等前沿技术应用于僵尸网络检测，进一步提高检测精度与告警能力。
本书可作为高等院校网络空间安全、信息安全、计算机、电子信息等专业的教材，也可作为研究所、IT公司中僵尸网络研究者的参考书。

第1章 僵尸网络
1.1 僵尸网络简介
1.1.1 僵尸网络的组成
1.1.2 僵尸网络的分类
1.2 僵尸网络的特征
1.2.1 僵尸网络的结构
1.2.2 僵尸网络的生命周期
1.2.3 僵尸网络C&C信道特征
1.2.4 僵尸网络恶意行为特征
1.2.5 僵尸网络跳板特征
1.3 传统的僵尸网络检测技术
1.3.1 网络入侵检测系统
1.3.2 Snort简介
小结
参考文献
第2章 基于僵尸网络DNS行为的检测原理
2.1 域名系统
2.1.1 域命名空间
2.1.2 域名服务器
2.1.3 DNS报文格式
2.1.4 资源记录
2.2 早期僵尸网络的DNS应用
2.3 逐步演变的Fast-Flux技术
2.4 域名生成算法
2.4.1 DGA工作原理
2.4.2 DGA域名生成方法
2.4.3 DGA域名种子分类
2.5 DNS隧道
小结
参考文献
第3章 基于Fast-FIux和DNS失效的检测方法与实践
3.1 检测僵尸网络的Fast-Flux服务
3.1.1 Fast-Flux服务网络
3.1.2 Fast-Flux域名特征
3.1.3 检测算法
3.1.4 跟踪探测与可疑域名确定
3.1.5 系统实现
3.1.6 实践效果评估
3.2 检测僵尸网络的DNS失效特征
3.2.1 DNS失效原因
3.2.2 DNS失效分类
3.2.3 恶意软件域名请求特征
3.2.4 流量预过滤
3.2.5 请求序列分析
3.2.6 C&C域名检测
3.2.7 实践效果评估
小结
参考文献
第4章 僵尸网络DGA域名检测方法与实践
4.1 基于DNS图挖掘的恶意域名检测
4.1.1 DNS图的定义
4.1.2 挖掘算法
4.1.3 算法应用
4.1.4 算法实现
4.1.5 实践效果评估
4.2 基于知识图谱的DGA恶意域名检测
4.2.1 DNS知识图谱
4.2.2 恶意域名检测模型
4.2.3 模型泛化
4.2.4 实践效果评估
4.3 基于图网络的词典型DGA检测
4.3.1 算法框架
4.3.2 词典型域名构图算法
4.3.3 DGA域名生成词典挖掘算法
4.3.4 实践效果评估
4.4 基于反馈学习的DGA恶意域名在线检测
4.4.1 SVM与支持向量
4.4.2 F-SVM学习算法
4.4.3 算法应用
4.4.4 实践效果评估
小结
参考文献
第5章 僵尸网络DNS隐蔽隧道检测方法与实践
5.1 基于机器学习的检测方法
5.1.1 DNS隐蔽通道分析
5.1.2 数据特征提取
5.1.3 检测算法
5.1.4 实践效果评估
5.2 基于时序特征的检测方法
5.2.1 基于自编码器的异常检测
5.2.2 特征提取
5.2.3 检测算法
5.2.4 网络参数调优
5.2.5 实践效果评估
小结
参考文献
第6章 基于深度学习的僵尸网络检测方法与实践
6.1 深度学习介绍
6.1.1 深度学习基本原理
6.1.2 深度学习与僵尸网络
6.2 基于时空特征深度学习的僵尸网络检测
6.2.1 基于ResNet的僵尸网络检测技术研究
6.2.2 基于BiLSTM的僵尸网络检测技术研究
6.2.3 基于时空特征相结合的僵尸网络检测技术研究
6.3 基于生成式对抗网络的僵尸网络检测技术研究
6.3.1 生成式对抗网络
6.3.2 基于空间维度生成式对抗网络的僵尸网络检测技术
6.3.3 基于时间维度生成式对抗网络的僵尸网络检测技术
小结
参考文献
第7章 僵尸网络追踪溯源方法与实践
7.1 基于流量水印的僵尸网络跳板追踪
7.1.1 僵尸网络跳板
7.1.2 流量水印
7.1.3 流量水印系统设计
7.1.4 实践效果评估
7.2 基于定位文档的僵尸网络攻击者追踪
7.2.1 定位文档系统设计
7.2.2 定位文档生成模块
7.2.3 定位文档检测模块
7.2.4 实践效果评估
7.3 基于蜜罐的僵尸网络追踪
7.3.1 蜜罐系统结构
7.3.2 协议模拟模块设计
7.3.3 追踪模块设计
7.3.4 日志模块设计及生成
7.3.5 实践效果评估
7.3.6 蜜罐日志分析
小结
参考文献