[發明專利]檢測可疑DNS的方法、裝置和可疑DNS的處理方法、系統

有效

• 申請號: 201310463747.6
• 申請日: 2013-10-08
• 公開（公告）號: CN103561120B
• 公開（公告）日: 2017-06-06
• 發明（設計）人: 江愛軍;鄭玉虎;譚合力;姚彤;胡宇;劉浩
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L29/06
• 代理公司: 北京智匯東方知識產權代理事務所(普通合伙)11391
• 代理人: 康正德,薛峰

技術領域

本發明涉及互聯網領域，特別是涉及一種檢測可疑DNS的方法、裝置和可疑DNS的處理方法、系統。

背景技術

域名解析系統（Domain Name Service，以下簡稱DNS）的縮寫，它是由解析器以及域名服務器組成的。域名服務器是指保存有該網絡中所有主機的域名和對應IP地址，并具有將域名轉換為IP地址功能的服務器。從而DNS的作用為幫助用戶在互聯網上尋找路徑。

在實際使用過程中，黑客可能通過篡改計算機或路由器上的DNS設置，把正常網址解析到釣魚網站或受黑客控制的主機上，以騙取用戶錢財或竊取隱私。惡意DNS的危害性高，會造成用戶的財產損失，嚴重時甚至可能導致網站或網絡癱瘓。

針對惡意DNS的攻擊，現有的應對方法主要有：建議用戶手動修改服務器設置為安全性系數高的DNS服務器，互聯網公司準備兩個以上的域名，一旦黑客進行DNS攻擊，通過其他域名進行訪問，然而以上方法均是在惡意DNS已經產生危害并被發現后的被動處理方法，無法主動針對惡意DNS進行識別并及時屏蔽惡意DNS并對進行處理。現有技術中缺乏準確及時檢測惡意DNS的方法。

發明內容

鑒于上述問題，提出了本發明以便提供一種克服上述問題或者至少部分地解決上述問題的檢測可疑DNS的裝置和相應的檢測可疑DNS的方法以及可疑DNS的處理系統和相應的可疑DNS的處理方法。本發明一個目的是及時檢測出可疑DNS，以降低互聯網危害的風險。

基于本發明的一個方面提供了一種檢測可疑DNS的方法。該檢測可疑DNS的方法包括：獲取已知域名的DNS正確解析結果的集合，DNS正確解析結果的集合通過一組域名解析服務器對已知域名解析得到；獲取已知域名的待檢測DNS解析結果，待檢測DNS解析結果為目標DNS對已知域名解析的結果；檢查待檢測DNS解析結果是否屬于DNS正確解析結果的集合；若否，將目標DNS標記為可疑DNS。

可選地，在將目標DNS記為可疑DNS之后還包括：分別獲取第一頁面和第二頁面，其中第一頁面為DNS正確解析結果對應的頁面，第二頁面為待檢測DNS解析結果對應的頁面；計算第一頁面和第二頁面的頁面相似度；在相似度小于預設值的情況下，確定可疑DNS為惡意DNS。

可選地，計算第一頁面和第二頁面的頁面相似度包括：使用向量空間模型算法計算第一頁面和第二頁面的頁面內容相似度。

可選地，在確定可疑DNS為惡意DNS之后還包括：在安全建議顯示區域輸出惡意DNS的檢測結果。

可選地，檢查待檢測DNS解析結果是否屬于DNS正確解析結果的集合包括至少以下任意一種方式：檢查待檢測DNS解析結果中的IP地址是否屬于DNS正確解析結果的集合中的IP地址列表；檢查待檢測DNS解析結果中的別名記錄是否屬于DNS正確解析結果的集合中的別名記錄列表；檢查待檢測DNS解析結果中的郵件交換記錄是否屬于DNS正確解析結果的集合中的郵件交換記錄列表。

可選地，一組域名解析服務器包括：多個具有電信運行商資質的域名解析服務器，已知域名包括多個不同類型網站的域名。

根據本發明的另一個方面，還提供了一種檢測可疑DNS的裝置。該檢測可疑DNS的裝置包括：第一解析接口，用于獲取已知域名的DNS正確解析結果的集合，DNS正確解析結果的集合通過一組域名解析服務器對已知域名解析得到；第二解析接口，用于獲取已知域名的待檢測DNS解析結果，待檢測DNS解析結果為目標DNS對已知域名解析的結果；查詢模塊，用于檢查待檢測DNS解析結果是否屬于DNS正確解析結果的集合；第一判斷模塊，用于在查詢模塊的檢查結果為否的情況下，將目標DNS標記為可疑DNS。

可選地，上述檢測可疑DNS的裝置還包括：頁面獲取模塊，用于分別獲取第一頁面和第二頁面，其中第一頁面為DNS正確解析結果對應的頁面，第二頁面為待檢測DNS解析結果待檢測DNS的頁面；計算模塊，用于計算第一頁面和第二頁面的頁面相似度；第二判斷模塊，用于在相似度小于預設值的情況下，確定可疑DNS為惡意DNS。

可選地，計算模塊配置為：使用向量空間模型算法計算第一頁面和第二頁面的頁面相似度。

可選地，上述檢測可疑DNS的裝置還包括：顯示模塊，用于在安全建議顯示區域輸出惡意DNS的檢測結果。