[發明專利]基于DNS流量檢測受感染主機和CC服務器的方法

有效

• 申請號: 201710850732.3
• 申請日: 2017-09-20
• 公開（公告）號: CN107612911B
• 公開（公告）日: 2020-05-01
• 發明（設計）人: 蔡福杰;范淵;劉元;李凱
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 杭州賽科專利代理事務所(普通合伙) 33230
• 代理人: 郭薇;馮年群

1.一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述方法包括以下步驟：

步驟1：構建訓練集，訓練得到識別隨機域名的算法；

步驟2：利用流量采集模塊采集經過任一網卡的DNS流量；

步驟3：對采集的DNS流量按照DNS協議規范進行解析，得到DNS信息；所述DNS信息包括域名、域名是否解析成功、客戶端IP；

步驟4：利用步驟1得到的識別隨機域名的算法判斷DNS信息中的域名是否為隨機域名，如是，進行下一步，如否，返回步驟2；

步驟5：判斷域名是否解析成功的信息，如解析失敗，進行下一步，如解析成功，進行步驟7；

步驟6：識別受感染主機；若是受感染的主機，則對信息進行保存，進行步驟8，否則返回步驟2；

所述步驟6包括以下步驟：

步驟6.1：獲得當前DNS信息的客戶端IP；

步驟6.2：若客戶端IP所對應的客戶端在T時間段內連續出現解析失敗的并且具有相同特征的隨機域名，而在T時間段前后具有相同特征的解析失敗的隨機域名的數量很小，并且這個持續時間段T在30分鐘以內，則認為該客戶端已經受感染，視為受感染主機；

步驟6.3：對于受感染主機，提取解析失敗的隨機域名的時間段及這些域名的相同特征，進行保存；進行步驟8；否則返回步驟2；

步驟7：識別CC服務器；若是CC服務器，則對信息進行保存，進行步驟8，否則返回步驟2；

步驟8：告警，保存告警信息并展現；返回步驟2。

2.根據權利要求1所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述步驟1中，訓練集包括正常域名和采用隨機算法生成的隨機域名。

3.根據權利要求1所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述識別隨機域名的算法通過對域名長度、數字個數、字母數字交換頻率、數字比例、連續字母的最大長度和特殊字符個數附以權重比例得出。

4.根據權利要求1所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述步驟3中，DNS信息還包括DNS服務器、請求的時間和解析成功的域名對應的實際服務器IP。

5.根據權利要求4所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述步驟6.2中，相同特征包括部分字符串相同或具有相同的長度。

6.根據權利要求5所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述相同特征還包括二級域名完全一樣但頂級域名不同。

7.根據權利要求1所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述步驟6中，保存的信息包括受感染主機IP、訪問且失敗的隨機域名、訪問失敗的域名的時間段。

8.根據權利要求1所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述步驟7中，識別CC服務器的方法為，對于解析成功的域名，同時滿足客戶端IP已在步驟6被識別為受感染主機、當前解析成功的域名的訪問時間在受感染主機大量訪問解析失敗的隨機域名的時間段內、與解析失敗的域名具有相同特征， 則將該域名對應的實際服務器IP識別為CC服務器。

9.根據權利要求1所述的一種基于DNS流量檢測受感染主機和CC服務器的方法，其特征在于：所述保存的信息包括訪問所述CC服務器的客戶端IP、訪問的時間、訪問的域名、CC服務器IP，同時關聯受感染主機與CC服務器。