[發(fā)明專利]基于Spark Streaming的DNS水刑攻擊處理方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201810115903.2
• 申請日: 2018-02-06
• 公開（公告）號: CN108040076A
• 公開（公告）日: 2018-05-15
• 發(fā)明（設(shè)計）人: 張躍冬;陳立國;耿光剛;延志偉
• 申請（專利權(quán)）人: 中國互聯(lián)網(wǎng)絡(luò)信息中心
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司 11227
• 代理人: 古利蘭;王寶筠

本發(fā)明提供了一種基于Spark Streaming的DNS水刑攻擊處理方法及系統(tǒng)，包括：在待保護的遞歸服務(wù)器上采集實時解析請求，將采集的實時解析請求轉(zhuǎn)換為第一消息，基于Spark Streaming以預(yù)設(shè)時間間隔提取出第一消息的特征，將提取出的第一消息的特征輸入預(yù)先構(gòu)建的隨機森林模型，基于隨機森林模型對第一消息的特征進行識別，識別出實時解析請求中的水刑攻擊請求，將水刑攻擊請求所對應(yīng)的客戶端網(wǎng)絡(luò)地址添加至系統(tǒng)防火墻黑名單。本發(fā)明能夠在遞歸服務(wù)器層級過濾水刑攻擊請求，阻止水刑攻擊請求進入遞歸解析階段，對保證權(quán)威服務(wù)器的安全性與穩(wěn)定性有重要作用。

技術(shù)領(lǐng)域

本發(fā)明屬于DNS(Domain Name System，域名系統(tǒng))技術(shù)領(lǐng)域，尤其涉及一種基于Spark Streaming的DNS水刑攻擊處理方法及系統(tǒng)。

背景技術(shù)

域名系統(tǒng)是互聯(lián)網(wǎng)的基石，負責(zé)維護計算機網(wǎng)絡(luò)中主機的信息，域名系統(tǒng)的安全性和可用性具有十分重要的意義。

水刑攻擊是一種針對域名系統(tǒng)的DDoS(Distributed Denial of Service，分布式拒絕服務(wù))攻擊。在水刑攻擊中，攻擊者控制僵尸網(wǎng)絡(luò)中的主機向目標權(quán)威域名服務(wù)器發(fā)送海量域名查詢請求，這些請求經(jīng)過域名系統(tǒng)解析，經(jīng)過各級權(quán)威服務(wù)器，最終到達權(quán)威域名服務(wù)器，權(quán)威域名服務(wù)器因無法響應(yīng)海量的查詢請求而服務(wù)終止，水刑攻擊成功。

以往針對水刑攻擊的檢測方法主要包括：基于流量波動的檢測方法、基于編輯距離的檢測方法、基于DNS圖挖掘的檢測方法以及基于組行為特征的檢測方法等。但這些檢測方法檢測效果不理想，并且不能做到對實時攻擊請求的壓制。

發(fā)明內(nèi)容

有鑒于此，本發(fā)明提供了一種基于Spark Streaming的DNS水刑攻擊處理方法，能夠在遞歸服務(wù)器層級過濾水刑攻擊請求，阻止水刑攻擊請求進入遞歸解析階段，對保證權(quán)威服務(wù)器的安全性與穩(wěn)定性有重要作用。

為了實現(xiàn)上述目的，本發(fā)明提供如下技術(shù)方案：

一種基于Spark Streaming的DNS水刑攻擊處理方法，包括：

在待保護的遞歸服務(wù)器上采集實時解析請求，將采集的所述實時解析請求轉(zhuǎn)換為第一消息；

基于Spark Streaming以預(yù)設(shè)時間間隔提取出所述第一消息的特征；

將提取出的所述第一消息的特征輸入預(yù)先構(gòu)建的隨機森林模型；

基于所述隨機森林模型對所述第一消息的特征進行識別，識別出所述實時解析請求中的水刑攻擊請求；

將所述攻擊請求所對應(yīng)的客戶端網(wǎng)絡(luò)地址添加至系統(tǒng)防火墻黑名單。

優(yōu)選地，所述方法還包括：

獲取歷史水刑攻擊的攻擊日志；

對所述攻擊日志進行預(yù)處理，提取特征，生成訓(xùn)練數(shù)據(jù)；

基于所述訓(xùn)練數(shù)據(jù)訓(xùn)練得到第一隨機森林模型；

驗證所述第一隨機森林模型，根據(jù)驗證結(jié)果，對所述第一隨機森林模型的參數(shù)進行調(diào)整，生成所述預(yù)先構(gòu)建的隨機森林模型。

優(yōu)選地，所述在待保護的遞歸服務(wù)器上采集實時解析請求，將采集的所述實時解析請求轉(zhuǎn)換為第一消息包括：

基于軟件Kafka在待保護的遞歸服務(wù)器上采集實時解析請求，將采集的所述實時解析請求轉(zhuǎn)換為第一消息。

優(yōu)選地，所述驗證所述第一隨機森林模型，根據(jù)驗證結(jié)果，對所述第一隨機森林模型的參數(shù)進行調(diào)整，生成所述預(yù)先構(gòu)建的隨機森林模型包括：

基于5折交叉驗證的方式驗證所述第一隨機森林模型，根據(jù)驗證結(jié)果，對所述第一隨機森林模型的參數(shù)進行調(diào)整，生成所述預(yù)先構(gòu)建的隨機森林模型。