[發(fā)明專利]基于DNS數(shù)據(jù)分析的域名查詢與解析異常檢測系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 202010789093.6
• 申請日: 2020-08-07
• 公開（公告）號: CN111935136B
• 公開（公告）日: 2022-05-20
• 發(fā)明（設(shè)計(jì)）人: 卓子寒;張翀;邢瀟;余翔湛;李康;葉麟;史建燾;劉立坤;楊宸;王璞;劉睿;呂欣潤;谷杰銘;張奕欣
• 申請（專利權(quán)）人: 哈爾濱工業(yè)大學(xué);國家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全管理中心
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;G06K9/62
• 代理公司: 哈爾濱市偉晨專利代理事務(wù)所(普通合伙) 23209
• 代理人: 劉坤

1.基于DNS數(shù)據(jù)分析的域名查詢與解析異常檢測方法，是依托于一種基于DNS數(shù)據(jù)分析的域名查詢與解析異常檢測系統(tǒng)實(shí)現(xiàn)的，該系統(tǒng)包括DNS數(shù)據(jù)分析的域名查詢異常檢測模塊和解析異常檢測模塊兩部分；

域名查詢異常檢測模塊用于收集域名信息、DNS記錄批量查詢和數(shù)據(jù)入庫分析；

解析異常檢測模塊用于域名異常查詢檢測、數(shù)據(jù)預(yù)處理、聚類分析和結(jié)果分析；其特征在于：具體方法步驟如下：

步驟一，搜索引擎查詢主域名地址，通過全網(wǎng)DNS反解析、全網(wǎng)IP掃描http端口；

步驟二，域名解析異常檢測包括收集域名信息，然后對DNS記錄批量查及數(shù)據(jù)入庫和數(shù)據(jù)分析,所述數(shù)據(jù)分析包括IP次數(shù)分析和泛解析分析，首先準(zhǔn)備域名集合keys，針對每一個域名key查詢其DNS資源記錄，判斷查詢所得資源記錄是否為A類或CNAME類記錄，如果是A類或CNAME類記錄則資源記錄信息保存到數(shù)據(jù)庫中，反之則不做記錄，最后針對收集到的所有子域名進(jìn)行惡意泛解析分析，通過惡意泛解析分析能夠找到存在惡意泛解析風(fēng)險(xiǎn)的域，并且能夠發(fā)現(xiàn)部分受到惡意泛域名解析的網(wǎng)站采取相應(yīng)的解決方案；

步驟三，異常查詢檢測由于DNS基礎(chǔ)結(jié)構(gòu)的分布式特性，考慮多個位置來收集有關(guān)DNS查詢和回復(fù)的信息，通過解析器是訪問直接來自客戶端計(jì)算機(jī)的查詢的位置，提供有關(guān)DNS查詢和響應(yīng)方面的客戶端的詳細(xì)信息；

步驟四，數(shù)據(jù)預(yù)處理為特征提取，從原始數(shù)據(jù)中提取出能夠準(zhǔn)確放映用戶訪問模式的時間行為特征，依次計(jì)算每個IP的時間特征，先從流量日志數(shù)據(jù)中提取出能夠準(zhǔn)確反映用戶訪問模式的時間行為特征，將DNS日志中的所有域名信息進(jìn)行規(guī)約處理

步驟五，聚類分析，其中的聚類算法包括基于距離的k-means算法和層次聚類算法，通過算法將獲得的時間特征進(jìn)行解析，從而得到判斷網(wǎng)絡(luò)狀態(tài)的數(shù)據(jù)；

兩種聚類算法的混合算法；

所述的k-means算法是基于距離的聚類算法，采用距離作為相似性的評價(jià)指標(biāo)，即認(rèn)為兩個對象的距離越近，其相似度就越大，該算法認(rèn)為簇是由距離相近的對象組成的，因此把得到緊湊且獨(dú)立的簇作為最終目標(biāo)，給定樣本集D＝{x₁，x₂，...，x_m}，k-means算法針對聚類所得簇劃分C＝{C₁，C₂，...，C_m}最小化平方誤差

其中是簇C_i的均值向量，E值越小，簇內(nèi)樣本相似度越高；

所述的層次聚類是聚類算法的一種，通過計(jì)算不同類別數(shù)據(jù)點(diǎn)之間的相似度來創(chuàng)建一棵有層次的嵌套聚類樹，在聚類樹中，不同類別的原始數(shù)據(jù)點(diǎn)是樹的最低層，樹的頂層是一個聚類的根節(jié)點(diǎn)，創(chuàng)建聚類樹有自底向上合并和自頂向下分裂兩種方法；層次聚類的合并算法通過計(jì)算兩類數(shù)據(jù)點(diǎn)間的相似性，對所有數(shù)據(jù)點(diǎn)中最為相似的兩個數(shù)據(jù)點(diǎn)進(jìn)行組合，并反復(fù)迭代這一過程，通過計(jì)算每一個類別的數(shù)據(jù)點(diǎn)與所有數(shù)據(jù)點(diǎn)之間的距離來確定它們之間的相似性，距離越小，相似度越高，并將距離最近的兩個數(shù)據(jù)點(diǎn)或類別進(jìn)行組合，生成聚類樹；

步驟六，對上述解析后的數(shù)據(jù)通過比對分析進(jìn)行最終的判斷。

2.根據(jù)權(quán)利要求1所述的基于DNS數(shù)據(jù)分析的域名查詢與解析異常檢測方法，其特征在于：所述的子域名收集的方法或者借助子域名爆破工具進(jìn)行分析，向預(yù)定的搜索引擎發(fā)送子域名搜索請求，在搜索請求中包含相關(guān)聯(lián)的域名關(guān)鍵字；對返回的響應(yīng)頁面進(jìn)行正則匹配，從頁面中提取出該域名所關(guān)聯(lián)的所有子域名，對于一個域名，至少需要獲取前100個搜索頁面中包含的子域名；子域名爆破工具subDomainsBrute依賴于dnspython插件，其使用小字典遞歸地發(fā)現(xiàn)三級域名、四級域名，使用114DNS、百度DNS、阿里DNS的Public DNS查詢，并且自動去重泛解析的域名。

3.根據(jù)權(quán)利要求2所述的基于DNS數(shù)據(jù)分析的域名查詢與解析異常檢測方法，其特征在于：步驟三中，異常查詢檢測由于DNS基礎(chǔ)結(jié)構(gòu)的分布式特性，考慮多個位置來收集有關(guān)DNS查詢和回復(fù)的信息；在所涉及的所有服務(wù)器中，通過解析器訪問直接來自客戶端計(jì)算機(jī)的查詢的位置，提供有關(guān)DNS查詢和響應(yīng)方面的客戶端的詳細(xì)信息；

關(guān)于原始DNS流量日志的處理，先從流量日志數(shù)據(jù)中提取出能夠準(zhǔn)確反映用戶訪問模式的時間行為特征，再提前將DNS日志中的所有域名信息進(jìn)行規(guī)約處理。