[發明專利]一種DNS隧道上層協議的類型的識別方法和裝置

在審

• 申請號: 202010590930.2
• 申請日: 2020-06-24
• 公開（公告）號: CN111756874A
• 公開（公告）日: 2020-10-09
• 發明（設計）人: 張新
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L29/06;H04L12/851
• 代理公司: 北京金信知識產權代理有限公司 11225
• 代理人: 孫勤;喻嶸

1.一種DNS隧道上層協議的類型的識別方法，其中，所述方法包括如下步驟：

基于待檢測的DNS隧道流量獲得其第一特征信息；

將所述第一特征信息輸入訓練完成的用于檢測DNS隧道上層協議的類型的識別模型中，以確定出所述待檢測的DNS隧道流量中所使用的上層協議的類型。

2.根據權利要求1所述的方法，其中，所述基于待檢測的DNS隧道流量獲得其第一特征信息，包括：

獲取包含所述待檢測的DNS隧道流量的第一文件數據；

將所述第一文件數據中具有相匹配的請求包和響應包的數據文件提取出來作為第二文件數據；

基于對第二文件數據分析獲得所述第一特征信息；

根據所述第一特征信息生成第一特征向量，所述第一特征向量用于輸入所述訓練完成的識別模型進行檢測。

3.根據權利要求1-2任一項權利要求所述的方法，其中，所述第一特征信息包括：

與所述待檢測的DNS隧道流量相應的IP Packet長度信息；和/或

與所述待檢測的DNS隧道流量相應的DNS查詢信息。

4.根據權利要求1所述的方法，其中，所述方法還包括采用集成算法訓練獲得所述訓練完成的識別模型，具體包括：

收集所述DNS隧道中的DNS隧道流量樣本；

基于所述DNS隧道流量樣本獲得其第二特征信息；

構建待訓練的識別模型，輸入所述第二特征信息并采用集成算法對所述待訓練的識別模型進行訓練以獲得所述訓練完成的識別模型。

5.根據權利要求4所述的方法，其中，所述基于所述DNS隧道流量樣本獲得其第二特征信息，包括：

獲取包含所述DNS隧道流量樣本的第三文件數據；

將所述第三文件數據中具有相匹配的請求包和響應包的數據文件提取出來作為第四文件數據；

基于第四文件數據進行分析獲得所述第二特征信息；

根據所述第二特征信息生成第二特征向量，所述第二特征向量用于輸入所述待訓練的識別模型以對其進行訓練。

6.根據權利要求4或5所述的方法，其中，所述集成算法包括：隨機森林或GBDT。

7.根據權利要求6所述的方法，其中，所述第二特征信息包括：

與所述DNS隧道流量樣本相應的IP Packet長度信息；和/或

與所述DNS隧道流量樣本相應的DNS查詢信息。

8.根據權利要求1所述的方法，其中，所述將所述第一特征信息輸入訓練完成的用于檢測DNS隧道上層協議的類型的識別模型中，以確定出所述待檢測的DNS隧道流量中所使用的上層協議的類型，包括：

分析特征信息，通過所述訓練完成的識別模型獲取計算結果，根據所述計算結果確定所述待檢測的DNS隧道流量中所使用的上層協議的類型。

9.一種DNS隧道上層協議的類型的識別裝置，其中，所述裝置包括：

獲取模塊，配置為獲取待檢測的DNS隧道流量；

提取模塊，配置為基于待檢測的DNS隧道流量提取第一特征信息；

檢測模塊，配置為將所述特征信息輸入到完成訓練的識別模型中，以確定出所述待檢測的DNS隧道流量中所使用的上層協議的類型。

10.根據權利要求9所述的裝置，其中，所述提取模塊進一步配置為：

將包含所述待檢測的DNS隧道流量的第一文件數據中具有相匹配的請求包和響應包的文件數據提取出來作為第二文件數據；

基于對第二文件數據的分析獲得所述第一特征信息，以供生成用于輸入所述訓練完成的識別模型的第一特征向量。