[發(fā)明專利]可用于DDoS攻擊的DNS反射器檢測(cè)方法、系統(tǒng)、設(shè)備及可讀存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110605421.7
• 申請(qǐng)日: 2021-05-31
• 公開（公告）號(hào): CN113285953B
• 公開（公告）日: 2022-07-12
• 發(fā)明（設(shè)計(jì)）人: 馬小博;劉東錦;瞿建;潘鵬宇;李森;卞華峰;王鑫
• 申請(qǐng)（專利權(quán)）人: 西安交通大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 西安通大專利代理有限責(zé)任公司 61200
• 代理人: 朱海臨

1.一種可用于DDoS攻擊的DNS反射器檢測(cè)方法，其特征在于，包括以下步驟：

S1，采集可用于反射攻擊的DNS遞歸服務(wù)器的IP地址集合；

S2，計(jì)算已知IP地址集合的DNS遞歸服務(wù)器攻擊潛能函數(shù)，對(duì)獲取的攻擊潛能函數(shù)進(jìn)行排序，取前N個(gè)DNS反射器作為潛在可用于DDoS攻擊反射器，并對(duì)已知位置的攻擊目標(biāo)進(jìn)行DDoS攻擊；

對(duì)IP地址集合中所有IP地址進(jìn)行DNS掃描得到各IP地址的DNS信息向量，形成DNS信息向量集合；

DNS信息向量I_X為：

I_X＝{IP，SEC，ANY，RT，Country，City，Lat，Long，Time}

其中IP是被掃描的DNS服務(wù)器的IP地址，SEC是DNS服務(wù)器是否支持DNSSEC協(xié)議標(biāo)記，0表示不支持，1表示支持；ANY是DNS服務(wù)器是否支持Any類型的DNS解析請(qǐng)求標(biāo)記，0表示不支持，1表示支持；RT是DNS服務(wù)器響應(yīng)的DNS請(qǐng)求數(shù)量在所有發(fā)送的DNS請(qǐng)求數(shù)量中所占的比例；Country是DNS服務(wù)器的IP所在的國(guó)家名稱；City是DNS服務(wù)器的IP所在的城市名稱；Lat是DNS服務(wù)器的IP所在的緯度；Long是DNS服務(wù)器的IP所在的經(jīng)度；Time是本次掃描的時(shí)間；

獲取已知位置的攻擊目標(biāo)的位置特征向量L_V：

L_V＝{IP，Country，City，Lat，Long}

其中，IP是DDoS攻擊目標(biāo)的IP地址，Country是DDoS攻擊目標(biāo)的IP所在的國(guó)家名稱，City是DDoS攻擊目標(biāo)的IP所在的城市名稱，Lat是DDoS攻擊目標(biāo)的IP所在的緯度，Long是DDoS攻擊目標(biāo)的IP所在的經(jīng)度；

對(duì)DNS信息向量集合中的DNS信息向量和攻擊目標(biāo)的位置特征向量使用攻擊潛能函數(shù)計(jì)算攻擊潛能Q_XV：

Q_XV＝AR_X+W_XV

其中，AR_X為DNS信息向量中IP對(duì)應(yīng)的DNS反射器的放大潛力的一個(gè)函數(shù)；W_XV為DNS信息向量中IP對(duì)應(yīng)的DNS反射器和DDoS攻擊目標(biāo)IP的位置特征向量中IP對(duì)應(yīng)的受害者主機(jī)之間位置關(guān)系的一個(gè)函數(shù)；

AR_X為：

AR_X＝α₁*I_X[SEC]+α₂*I_X[ANY]+(1+I_X[RT])

其中，I_X[SEC]表示DNS信息向量I_X中SEC元素的值，I_X[ANY]表示DNS信息向量I_X中ANY元素的值，I_X[RT]表示DNS信息向量I_X中RT元素的值，α₁和α₂為常數(shù)；

W_XV為：

W_XV＝β₁*SP(I_X[IP]，L_V[IP])+β₂*S(I_X[Country]，L_V[Country])+β₃*S(I_X[City]，L_V[City])+β₄*Dis(I_X，L_V)

其中，β₁、β₂、β₃、β₄為常數(shù)，SP(IP₁，IP₂)表示IP地址IP₁和IP地址IP₂的網(wǎng)段相似度，若兩個(gè)IP地址的前R位相同，則它們的網(wǎng)段相似度為R，S(S₁，S₂)表示字符串S₁和字符串S₂的完全匹配距離，Dis(I_X，L_V)表示I_X中的經(jīng)緯度和L_V中的經(jīng)緯度之間的地理距離等級(jí)；S(S₁，S₂)的定義如下：

Dis(I_X，L_V)的定義如下：

S3，使用攻擊效果函數(shù)對(duì)DDoS攻擊的攻擊效果進(jìn)行評(píng)估，若攻擊效果大于等于設(shè)定閾值Y，則該DNS反射器潛在可用于DDoS攻擊，否則不可用，即可實(shí)現(xiàn)可用于DDoS攻擊的DNS反射器的快速檢測(cè)；其中攻擊效果函數(shù)為：

G_XV＝Bind₁-Bind₂

其中，Bind₁表示正常情況下DDoS攻擊目標(biāo)的出口帶寬，Bind₂表示攻擊情況下DDoS攻擊目標(biāo)的出口帶寬。