[發(fā)明專利]一種基于機(jī)器學(xué)習(xí)的DNS服務(wù)器軟件指紋識(shí)別系統(tǒng)和方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201710093763.9
• 申請(qǐng)日: 2017-02-21
• 公開（公告）號(hào): CN106899586A
• 公開（公告）日: 2017-06-27
• 發(fā)明（設(shè)計(jì)）人: 鄒福泰;周江林;裴蓓;潘理;李建華
• 申請(qǐng)（專利權(quán)）人: 上海交通大學(xué);公安部第三研究所
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12;G06F9/44;G06K9/00;G06K9/62
• 代理公司: 上海旭誠(chéng)知識(shí)產(chǎn)權(quán)代理有限公司31220
• 代理人: 鄭立

1.一種基于機(jī)器學(xué)習(xí)的DNS服務(wù)器軟件指紋識(shí)別系統(tǒng)，其特征在于，包括輸入模塊、特征提取模塊、決策樹分類模塊和輸出模塊，其中，所述輸入模塊、特征提取模塊、決策樹分類模塊和輸出模塊依次連接，所述特征提取模塊被配置為在向特定的DNS服務(wù)器進(jìn)行的查詢和響應(yīng)中抽取特征；所述決策樹分類模塊被配置為在本地訓(xùn)練生成，且產(chǎn)生DNS服務(wù)器的所述軟件指紋以及相對(duì)應(yīng)的版本信息。

2.一種基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，包括以下步驟：

第1步、建立DNS服務(wù)器軟件版本信息數(shù)據(jù)集；

第2步、根據(jù)第1步中的所述數(shù)據(jù)集轉(zhuǎn)化抽取特征訓(xùn)練集；

第3步、根據(jù)第2步中的所述訓(xùn)練集獲得決策樹分類模塊；

第4步、將第3步中得到的所述決策樹分類模塊集成到識(shí)別系統(tǒng)中，用于對(duì)于用戶輸入的目標(biāo)域名的DNS服務(wù)器軟件指紋和軟件版本信息的輸出。

3.根據(jù)權(quán)利要求2所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，第1步中，建立DNS服務(wù)器軟件版本信息數(shù)據(jù)集的步驟包括：

(1.1)在本地虛擬機(jī)上安裝不同版本DNS服務(wù)器軟件；

(1.2)對(duì)于域名進(jìn)行基于DNS查詢包的查詢請(qǐng)求；

(1.3)利用tcpdump/tshark截取DNS通信流量得到pcap流量包；所述pcap流量包即DNS服務(wù)器軟件版本信息數(shù)據(jù)集。

4.根據(jù)權(quán)利要求3所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，第2步中，轉(zhuǎn)化抽取特征訓(xùn)練集的步驟包括：

(2.1)以第1步得到的所述軟件版本信息數(shù)據(jù)集作為輸入，使用Python語言解析所述pcap流量包，得到每條查詢/響應(yīng)的記錄；

(2.2)在所述記錄的內(nèi)容中抽取出特征字段，匯總成特征訓(xùn)練集備用。

5.根據(jù)權(quán)利要求4所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，第3步中，獲得決策樹分類模塊的步驟包括：

(3.1)以第2步得到的特征訓(xùn)練集作為輸入，運(yùn)行決策樹分類的機(jī)器學(xué)習(xí)算法，得到?jīng)Q策樹分類模塊。

6.根據(jù)權(quán)利要求5所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，第4步中：包括以下步驟：

(4.1)將所述決策樹分類模塊與輸入模塊、查詢/響應(yīng)模塊、輸出模塊連接組成完整的軟件指紋識(shí)別系統(tǒng)；

(4.2)對(duì)于用戶輸入的目標(biāo)域名，輸出DNS服務(wù)器軟件指紋和軟件版本信息。

7.根據(jù)權(quán)利要求4所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，第2.1步中，包括以下步驟：

(2.1.1)使用python語言編寫pcap文件解析程序，將原始截取的二進(jìn)制格式pcap文件讀取解析成為16進(jìn)制字符文件；

(2.1.2)根據(jù)pcap文件格式分離出應(yīng)用層數(shù)據(jù)；

(2.1.3)根據(jù)DNS消息格式的頭格式，將每條消息記錄提取出固定字段的值作為特征。

8.根據(jù)權(quán)利要求7所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，第2.1.3步中，所述固定字段包括Opcode、Authoritative、Recursion available和Reply code。

9.根據(jù)權(quán)利要求7所述的基于機(jī)器學(xué)習(xí)檢測(cè)DNS服務(wù)器軟件指紋識(shí)別方法，其特征在于，對(duì)于同一個(gè)域名的請(qǐng)求，將不同類型請(qǐng)求的返回包特征橫向拼接，全部類型返回包特征拼接完全后就得到一條有效的訓(xùn)練集數(shù)據(jù)記錄。