[發(fā)明專利]DNS域名異常訪問監(jiān)控方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201911156502.2
• 申請(qǐng)日: 2019-11-22
• 公開（公告）號(hào): CN112839005B
• 公開（公告）日: 2022-11-04
• 發(fā)明（設(shè)計(jì)）人: 張恒;張鵬;孫才;劉永祥
• 申請(qǐng)（專利權(quán)）人: 中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L61/4511
• 代理公司: 北京路浩知識(shí)產(chǎn)權(quán)代理有限公司 11002
• 代理人: 王宇楊

1.一種DNS域名異常訪問監(jiān)控方法，其特征在于，包括：

統(tǒng)計(jì)DNS查詢報(bào)文中的DNS域名，得到第一域名集中所包含域名的訪問次數(shù)和訪問次數(shù)降序排名；其中，所述第一域名集為當(dāng)前統(tǒng)計(jì)周期內(nèi)訪問次數(shù)降序排名在前的多個(gè)域名的集合；

對(duì)所述第一域名集中所包含的域名，將對(duì)應(yīng)域名的訪問次數(shù)與該域名根據(jù)標(biāo)準(zhǔn)冪律分布計(jì)算得到的訪問次數(shù)進(jìn)行比較，確定比較結(jié)果大于閾值的域名，將在當(dāng)前統(tǒng)計(jì)周期內(nèi)對(duì)所確定域名的訪問認(rèn)定為異常；其中，

所述標(biāo)準(zhǔn)冪律分布描述了基于歷史統(tǒng)計(jì)數(shù)據(jù)所得到的域名的訪問次數(shù)與該域名的訪問次數(shù)降序排名之間的關(guān)系，

所述標(biāo)準(zhǔn)冪律分布的表達(dá)式為：其中，x表示訪問次數(shù)降序排名，y表示訪問次數(shù)，均為標(biāo)準(zhǔn)冪律分布的冪律指數(shù)；該方法還包括：

統(tǒng)計(jì)DNS查詢報(bào)文中的DNS域名，得到多個(gè)第二域名集中所包含域名的訪問次數(shù)和訪問次數(shù)降序排名；其中，所述第二域名集為一個(gè)統(tǒng)計(jì)周期內(nèi)訪問次數(shù)降序排名在前的多個(gè)域名的集合；

根據(jù)所述多個(gè)第二域名集中所包含域名的訪問次數(shù)和訪問次數(shù)降序排名，計(jì)算每個(gè)第二域名集的冪律指數(shù)；根據(jù)每個(gè)第二域名集的冪律指數(shù)，計(jì)算所述多個(gè)第二域名集的冪律指數(shù)均值，將所述冪律指數(shù)均值作為標(biāo)準(zhǔn)冪律分布的冪律指數(shù)，從而得到標(biāo)準(zhǔn)冪律分布。

2.根據(jù)權(quán)利要求1所述的DNS域名異常訪問監(jiān)控方法，其特征在于，還包括：

對(duì)所述多個(gè)第二域名集中所包含域名，為對(duì)應(yīng)域名的訪問次數(shù)與該域名根據(jù)所述標(biāo)準(zhǔn)冪律分布計(jì)算得到的訪問次數(shù)求差，得到多個(gè)差值，計(jì)算所述多個(gè)差值的均值與標(biāo)準(zhǔn)差，根據(jù)所述多個(gè)差值的均值與標(biāo)準(zhǔn)差確定所述閾值。

3.根據(jù)權(quán)利要求2所述的DNS域名異常訪問監(jiān)控方法，其特征在于，所述閾值為μ+3σ，其中，μ為所述多個(gè)差值的均值、σ為所述多個(gè)差值的標(biāo)準(zhǔn)差。

4.一種DNS域名異常訪問監(jiān)控裝置，其特征在于，包括：

第一統(tǒng)計(jì)模塊，用于統(tǒng)計(jì)DNS查詢報(bào)文中的DNS域名，得到第一域名集中所包含域名的訪問次數(shù)和訪問次數(shù)降序排名；其中，所述第一域名集為當(dāng)前統(tǒng)計(jì)周期內(nèi)訪問次數(shù)降序排名在前的多個(gè)域名的集合；

異常認(rèn)定模塊，用于對(duì)所述第一域名集中所包含的域名，將對(duì)應(yīng)域名的訪問次數(shù)與該域名根據(jù)標(biāo)準(zhǔn)冪律分布計(jì)算得到的訪問次數(shù)進(jìn)行比較，確定比較結(jié)果大于閾值的域名，將在當(dāng)前統(tǒng)計(jì)周期內(nèi)對(duì)所確定域名的訪問認(rèn)定為異常；其中，

所述標(biāo)準(zhǔn)冪律分布描述了基于歷史統(tǒng)計(jì)數(shù)據(jù)所得到的域名的訪問次數(shù)與該域名的訪問次數(shù)降序排名之間的關(guān)系，

所述標(biāo)準(zhǔn)冪律分布的表達(dá)式為：其中，x表示訪問次數(shù)降序排名，y表示訪問次數(shù)，均為標(biāo)準(zhǔn)冪律分布的冪律指數(shù)；該裝置還包括：

第二統(tǒng)計(jì)模塊，用于統(tǒng)計(jì)DNS查詢報(bào)文中的DNS域名，得到多個(gè)第二域名集中所包含域名的訪問次數(shù)和訪問次數(shù)降序排名；其中，所述第二域名集為一個(gè)統(tǒng)計(jì)周期內(nèi)訪問次數(shù)降序排名在前的多個(gè)域名的集合；

標(biāo)準(zhǔn)冪律分布生成模塊，用于根據(jù)所述多個(gè)第二域名集中所包含域名的訪問次數(shù)和訪問次數(shù)降序排名，計(jì)算每個(gè)第二域名集的冪律指數(shù)；根據(jù)每個(gè)第二域名集的冪律指數(shù)，計(jì)算所述多個(gè)第二域名集的冪律指數(shù)均值，將所述冪律指數(shù)均值作為標(biāo)準(zhǔn)冪律分布的冪律指數(shù)，從而得到標(biāo)準(zhǔn)冪律分布。

5.根據(jù)權(quán)利要求4所述的DNS域名異常訪問監(jiān)控裝置，其特征在于，還包括：

閾值設(shè)置模塊，用于對(duì)所述多個(gè)第二域名集中所包含域名，為對(duì)應(yīng)域名的訪問次數(shù)與該域名根據(jù)所述標(biāo)準(zhǔn)冪律分布計(jì)算得到的訪問次數(shù)求差，得到多個(gè)差值，計(jì)算所述多個(gè)差值的均值與標(biāo)準(zhǔn)差，根據(jù)所述多個(gè)差值的均值與標(biāo)準(zhǔn)差確定閾值。

6.根據(jù)權(quán)利要求5所述的DNS域名異常訪問監(jiān)控裝置，其特征在于，所述閾值為μ+3σ，其中，μ為所述多個(gè)差值的均值、σ為所述多個(gè)差值的標(biāo)準(zhǔn)差。

7.一種電子設(shè)備，包括存儲(chǔ)器、處理器及存儲(chǔ)在存儲(chǔ)器上并可在處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述程序時(shí)實(shí)現(xiàn)如權(quán)利要求1至3任一項(xiàng)所述DNS域名異常訪問監(jiān)控方法的步驟。

8.一種非暫態(tài)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，該計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1至3任一項(xiàng)所述DNS域名異常訪問監(jiān)控方法的步驟。