[發明專利]一種基于DNS解析的域名陰影檢測方法和裝置

有效

• 申請號: 202011202296.7
• 申請日: 2020-11-02
• 公開（公告）號: CN112333185B
• 公開（公告）日: 2023-01-17
• 發明（設計）人: 曲武
• 申請（專利權）人: 北京金睛云華科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511
• 代理公司: 沈陽友和欣知識產權代理事務所(普通合伙) 21254
• 代理人: 楊群;郭悅

1.一種基于DNS解析的域名陰影檢測方法，其特征在于，包括如下步驟：

1)獲取域名解析的DNS原始流量或PDNS數據，所述PDNS數據指被動DNS數據，解析域名請求的特征數據，對解析后的特征數據進行預處理，獲取特征數據向量流；

2)以預設的滑動時間窗口為檢測周期對特征數據向量流進行檢測統計，生成檢測特征數據向量流；

3)利用多階段異常檢測模型組對檢測特征數據向量流進行處理，逐步判斷子域名是否為疑似域名陰影，并輸出檢測結果，具體包括如下步驟；

步驟S103-1)利用分布式數據流處理組件，從消息隊列的檢測特征數據向量流Topic讀取相應的檢測特征數據向量流；

步驟S103-2)利用分布式數據流處理組件的滑動時間窗口機制，以預設的滑動時間窗口為檢測周期對檢測特征數據向量流進行檢測統計，以主域名為分析對象進行匯聚，提取匯聚結果的統計特征向量，包括子域名與主域名創建時間間隔F1、子域名組建立時間間隔F2、通用子域名的比例F3、子域名長度的多樣性F4、IP的地理位置、陰影社區、K-L散度評估、Web關聯性；

步驟S103-3)基于上述統計特征向量，利用階段1異常檢測模型進行域名陰影可信度評估，并根據可信度的閾值q₁判斷檢測特征數據向量流是否進入下一階段，包括：

計算總體可信度評分score_p1，若score_p1≥q₁，則判定為該時間窗口存在域名陰影；若score_p1q₁，則將該時間窗口的檢測特征數據向量流進行步驟S103-4)的處理；

步驟S103-4)利用分布式數據流處理組件的滑動時間窗口機制，以預設的滑動時間窗口為檢測周期對檢測特征數據向量流進行檢測統計，以解析的主機IP為分析對象進行匯聚，提取匯聚結果的統計特征向量，包括K-L散度評估、Web關聯性、主機IP承載的疑似域名陰影的數量；

步驟S103-5)基于步驟S103-4)輸出的統計特征向量，利用階段2異常檢測模型進行域名陰影可信度評估，并根據可信度的閾值判斷對子域名進行最終的可信度標注，更新檢測特征數據向量流相關字段；

步驟S103-6)對可信度超過指定閾值的疑似域名陰影進行匯聚，輸出疑似域名陰影的主域名、主機IP、域名擁有組織的相關信息以及證據向量，并寫入數據庫。

2.如權利要求1所述的基于DNS解析的域名陰影檢測方法，其特征在于，所述步驟1)具體為：

101)利用協議解析引擎對DNS流量進行處理，按照標準PDNS數據格式提取相應特征，構造實時PDNS特征數據；

102)利用爬蟲根據時間獲取來自PDNS特征數據供應商的PDNS特征數據；

103)利用采集器獲取來自實時DNS流量的PDNS特征數據和來自數據供應商的PDNS特征數據，送到消息隊列；

104)利用DGA域名識別算法、白域名生成算法、CDN服務器列表以及黑名單獲取情報黑白名單列表，用于后續過濾使用；

105)利用分布式數據流處理組件，從消息隊列讀取相應的PDNS數據流，并使用情報黑白名單列表形成的過濾算法對PDNS數據流進行過濾，再使用在線數據擴充算法、離線數據擴充算法對PDNS數據流進行數據特征擴充，補充相關特征向量；

106)生成特征數據向量流，并寫回消息隊列的特征數據向量流Topic。

3.如權利要求1所述的基于DNS解析的域名陰影檢測方法，其特征在于，所述步驟2)具體為：

201)利用分布式數據流處理組件，讀取相應的特征數據向量流；

202)利用分布式數據流處理組件的滑動時間窗口機制，以預設的滑動時間窗口為檢測周期對特征數據向量流進行檢測統計，以解析的主機IP為分析對象進行匯聚，若解析的主機IP承載了大量的、不重復的主域名，則判定為該服務器為CDN加速服務器，更新CDN服務器列表；

203)利用分布式數據流處理組件的滑動時間窗口機制，以預設的滑動時間窗口為檢測周期對特征數據向量流進行檢測統計，以主域名為分析對象進行匯聚，若主域名包含的子域名具有子域名數量低于指定的閾值且子域名命名符合規范、子域名的活躍度大于指定的閾值的行為時，則過濾這部分特征數據向量流；

204)生成檢測特征數據向量流，并寫回消息隊列的檢測特征數據向量流Topic。