[發明專利]檢測可疑DNS的方法、裝置和可疑DNS的處理方法、系統

有效

• 申請號: 201310463747.6
• 申請日: 2013-10-08
• 公開（公告）號: CN103561120B
• 公開（公告）日: 2017-06-06
• 發明（設計）人: 江愛軍;鄭玉虎;譚合力;姚彤;胡宇;劉浩
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L29/06
• 代理公司: 北京智匯東方知識產權代理事務所(普通合伙)11391
• 代理人: 康正德,薛峰

1.一種檢測可疑DNS的方法，包括：

獲取一組已知域名的DNS正確解析結果的集合，所述DNS正確解析結果的集合通過一組域名解析服務器對所述一組已知域名解析得到，所述一組已知域名包括多個不同類型網站的域名；

獲取所述一組已知域名的待檢測DNS解析結果，所述待檢測DNS解析結果為目標DNS對所述一組已知域名解析的結果；

檢查所述一組已知域名中每個域名的所述待檢測DNS解析結果是否屬于該域名所述DNS正確解析結果的集合；

若所述待檢測解析結果中任一域名的所述待檢測DNS解析結果不屬于該域名所述DNS正確解析結果的集合，將所述目標DNS標記為可疑DNS，其中檢查所述待檢測DNS解析結果是否屬于所述DNS正確解析結果的集合包括：

檢查所述待檢測DNS解析結果中的別名記錄是否屬于所述DNS正確解析結果的集合中的別名記錄列表；

檢查所述待檢測DNS解析結果中的郵件交換記錄是否屬于所述DNS正確解析結果的集合中的郵件交換記錄列表。

2.根據權利要求1的方法，其中，在將所述目標DNS記為可疑DNS之后還包括：

分別獲取第一頁面和第二頁面，其中所述第一頁面為所述DNS正確解析結果對應的頁面，所述第二頁面為所述待檢測DNS解析結果對應的頁面；

計算所述第一頁面和所述第二頁面的頁面相似度；

在所述相似度小于預設值的情況下，確定所述可疑DNS為惡意DNS。

3.根據權利要求2的方法，其中，計算所述第一頁面和所述第二頁面的頁面相似度包括：使用向量空間模型算法計算所述第一頁面和所述第二頁面的頁面內容相似度。

4.根據權利要求2或3的方法，其中，在確定所述可疑DNS為惡意DNS之后還包括：

在安全建議顯示區域輸出所述惡意DNS的檢測結果。

5.根據權利要求1至3中任一項的方法，其中，檢查所述待檢測DNS解析結果是否屬于所述DNS正確解析結果的集合還包括：

檢查所述待檢測DNS解析結果中的IP地址是否屬于所述DNS正確解析結果的集合中的IP地址列表。

6.根據權利要求1至3中任一項的方法，其中，所述一組域名解析服務器包括：多個具有電信運行商資質的域名解析服務器。

7.一種檢測可疑DNS的裝置，包括：

第一解析接口，用于獲取一組已知域名的DNS正確解析結果的集合，所述DNS正確解析結果的集合通過一組域名解析服務器對所述一組已知域名解析得到，所述一組已知域名包括多個不同類型網站的域名；

第二解析接口，用于獲取所述一組已知域名的待檢測DNS解析結果，所述待檢測DNS解析結果為目標DNS對所述一組已知域名解析的結果；

查詢模塊，用于檢查所述一組已知域名中每個域名的所述待檢測DNS解析結果是否屬于該域名所述DNS正確解析結果的集合；

第一判斷模塊，用于在所述查詢模塊的檢查結果為所述待檢測解析結果中任一域名的所述待檢測DNS解析結果不屬于該域名所述DNS正確解析結果的集合的情況下，將所述目標DNS標記為可疑DNS，其中所述查詢模塊包括：

別名記錄查詢子模塊，用于檢查所述待檢測DNS解析結果中的別名記錄是否屬于所述DNS正確解析結果的集合中的別名記錄列表；

郵件交換記錄查詢子模塊，用于檢查所述待檢測DNS解析結果中的郵件交換記錄是否屬于所述DNS正確解析結果的集合中的郵件交換記錄列表。