[發明專利]一種基于報文分析的DNS劫持檢測方法及系統

有效

• 申請號: 202010582205.0
• 申請日: 2020-06-23
• 公開（公告）號: CN111698260B
• 公開（公告）日: 2022-10-11
• 發明（設計）人: 徐明;辜乘風;陳曦;陳一根;魏國富
• 申請（專利權）人: 上海觀安信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;G06N20/00;G06K9/62
• 代理公司: 合肥市浩智運專利代理事務所(普通合伙) 34124
• 代理人: 張景云

1.一種基于報文分析的DNS劫持檢測方法，其特征在于：包括以下步驟：

S01.對網絡報文數據解析，提取其中DNS報文信息；

S02.數據預處理，對DNS報文信息進行數據清洗和篩選，獲得目標DNS報文數據；

S03.特征提取，針對所述目標DNS報文數據進行加工處理，提取特征數據；所述特征數據包括DNS服務器MAC是否常用、DNS服務器IP是否常用、DNS報文長度、DNS報文包含的IP計數、DNS報文生存時間、全局中域名對應的IP數、全局中對應的域名數大于1個的IP數、DNS服務器與網關配置是否一致；

S04.機器學習模型識別DNS劫持攻擊，將特征數據輸入預先訓練好的機器學習模塊，進行DNS劫持攻擊識別；所述機器學習模型為孤立森林算法；

S05.DNS劫持攻擊分類，采用K-means聚類算法對步驟S04中識別出DNS劫持攻擊進行分類；

S06.模型優化，利用檢測結果對模型進行優化。

2.根據權利要求1所述的一種基于報文分析的DNS劫持檢測方法，其特征在于：所述步驟S01中的解析方法具體為：使用遞歸式逐層解析，按照網絡報文的封裝思路，逆向對每一層進行解析，并在解析的過程中提取相關信息。

3.根據權利要求1所述的一種基于報文分析的DNS劫持檢測方法，其特征在于：所述步驟S02中數據預處理包括：

首先需要按照網絡報文的類型對數據進行一次篩選，篩選的方法為通過查看最內層所封裝的報文類型來剔除未封裝DNS報文的數據包；然后再次對數據包中所封裝的DNS報文中的請求域名進行篩選，剔除掉包含local域名的數據包。

4.根據權利要求1所述的一種基于報文分析的DNS劫持檢測方法，其特征在于：所述步驟S04中所述的機器學習模型為異常檢測算法孤立森林；通過孤立森林模型計算之后，每條記錄都能夠返回一個異常得分，通過將異常得分進行降序排列，就能夠找出異常的操作記錄，從而定位到該條記錄所對應的DNS劫持攻擊。

5.根據權利要求1所述的一種基于報文分析的DNS劫持檢測方法，其特征在于：所述步驟S04中，采用聚類分析算法對DNS攻擊劫持進行分類，具體分為客戶機劫持、路由器劫持、DNS服務器劫持、中間人劫持。

6.根據權利要求1所述的一種基于報文分析的DNS劫持檢測方法，其特征在于：所述步驟S06中模型優化為通過對DNS劫持攻擊檢測結果進行驗證后，將確認為DNS攻擊的行為記入黑名單，同時根據實際需要再建立一個白名單；在后續的模型檢測過程中，需要在方法S04特征提取步驟新增兩個特征項，其一為當前記錄所包含的MAC、IP以及域名是否在黑名單中，另一個特征為當前記錄所包含的MAC、IP以及域名是否在白名單中；對于匹配到黑名單的記錄，增加其為DNS劫持攻擊的預警權重，而對于在白名單中的記錄，則適當放行。

7.一種基于報文分析的DNS劫持檢測系統，應用于權利要求1至6任一所述的方法，其特征在于：包括

網絡報文數據解析模塊，對網絡報文數據解析，提取其中DNS報文信息；

數據預處理模塊，對DNS報文信息進行數據清洗和篩選，獲得目標DNS報文數據；

特征提取模塊，針對所述目標DNS報文數據進行加工處理，提取特征數據；

機器學習模型識別DNS劫持攻擊模塊，將特征數據輸入預先訓練好的機器學習模塊，進行DNS劫持攻擊識別；

DNS劫持攻擊分類模塊，對識別出DNS劫持攻擊進行分類；

模型優化模塊，利用檢測結果對模型進行優化。

8.根據權利要求7所述的一種基于報文分析的DNS劫持檢測系統，其特征在于：所述數據預處理模塊中數據預處理包括：首先需要按照網絡報文的類型對數據進行一次篩選，篩選的方法為通過查看最內層所封裝的報文類型來剔除未封裝DNS報文的數據包；然后再次對數據包中所封裝的DNS報文中的請求域名進行篩選，剔除掉包含local域名的數據包。