[發(fā)明專利]一種流量檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202110741330.6
• 申請(qǐng)日: 2021-06-30
• 公開（公告）號(hào): CN113489709B
• 公開（公告）日: 2023-06-20
• 發(fā)明（設(shè)計(jì)）人: 甘蕊靈;崔翔;王忠儒;刁嘉文;王田;宋首友
• 申請(qǐng)（專利權(quán)）人: 丁牛信息安全科技（江蘇）有限公司;北京丁牛科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 魯麗美

1.一種流量檢測(cè)方法，其特征在于，包括：

獲取待檢測(cè)流量；所述待檢測(cè)流量包括一組具備相同二級(jí)域名的域名系統(tǒng)DNS查詢流量；

提取所述待檢測(cè)流量的流量特征；所述流量特征至少包括所述待檢測(cè)流量的域名結(jié)構(gòu)性特征，所述域名結(jié)構(gòu)性特征為所述待檢測(cè)流量的至少部分域名信息的結(jié)構(gòu)特征；所述提取所述待檢測(cè)流量的流量特征，包括：提取所述各個(gè)DNS查詢流量的子域名的結(jié)構(gòu)特征，得到所述待檢測(cè)流量的域名結(jié)構(gòu)性特征，提取所述各個(gè)DNS查詢流量的至少一種非結(jié)構(gòu)性特征，將所述域名結(jié)構(gòu)性特征與至少一種非結(jié)構(gòu)性特征共同作為待檢測(cè)流量的流量特征；所述非結(jié)構(gòu)性特征包括各個(gè)DNS查詢流量的域名基礎(chǔ)特征、域名可讀性特征、DNS請(qǐng)求特征、DNS應(yīng)答特征、統(tǒng)計(jì)特征；所述子域名的結(jié)構(gòu)特征，至少包括所述各個(gè)DNS查詢流量對(duì)應(yīng)的各個(gè)子域名的公共字符特征及公共子串特征；所述公共字符特征，至少包括所述各個(gè)子域名的公共字符的公共字符數(shù)；所述公共子串特征，至少包括所述各個(gè)子域名的最大公共子串的子串長度特征及子串字符特征，其中，所述子串字符特征包括所述各個(gè)子域名的最大公共子串是否包括不常出現(xiàn)的數(shù)字和大寫字母字符；

根據(jù)所述待檢測(cè)流量的流量特征，確定所述待檢測(cè)流量是否為惡意流量。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述獲取待檢測(cè)流量，包括：

接收提交的在線檢測(cè)任務(wù)；

獲取所述在線檢測(cè)任務(wù)對(duì)應(yīng)的待檢測(cè)流量；

其中，所述在線檢測(cè)任務(wù)的任務(wù)類型包括實(shí)時(shí)流量監(jiān)測(cè)類型和流量包文件檢測(cè)類型。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述提取所述待檢測(cè)流量的流量特征，還包括：

提取所述各個(gè)DNS查詢流量的子域名的結(jié)構(gòu)特征，得到所述待檢測(cè)流量的域名結(jié)構(gòu)性特征；提取所述各個(gè)DNS查詢流量的域名基礎(chǔ)特征、域名可讀性特征、DNS請(qǐng)求特征、DNS應(yīng)答特征、統(tǒng)計(jì)特征中的至少一種特征；所述域名結(jié)構(gòu)性特征與所述至少一種特征構(gòu)成所述流量特征。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，利用預(yù)先基于流量訓(xùn)練所構(gòu)建的DNS流量檢測(cè)器，提取所述待檢測(cè)流量的流量特征，并確定所述待檢測(cè)流量是否為惡意流量；

其中，所述DNS流量檢測(cè)器的訓(xùn)練樣本包括多組流量樣本，每組流量樣本包括多個(gè)具有相同二級(jí)域名的DNS查詢流量；在構(gòu)建所述DNS流量檢測(cè)器時(shí)，至少基于每組流量樣本對(duì)應(yīng)的域名結(jié)構(gòu)性特征進(jìn)行訓(xùn)練。

5.根據(jù)權(quán)利要求1所述方法，其特征在于，在確定所述待檢測(cè)流量是否為惡意流量之后，還包括：

若確定所述待檢測(cè)流量為惡意流量，執(zhí)行預(yù)定的預(yù)警響應(yīng)處理。

6.根據(jù)權(quán)利要求4所述方法，其特征在于，還包括：

確定訓(xùn)練所述DNS流量檢測(cè)器的過程與流量檢測(cè)過程中是否發(fā)生預(yù)定異常類型的異常事件，若發(fā)生異常事件，進(jìn)行相匹配的異常處理，以避免處理過程被發(fā)生的異常中斷；

其中，所述異常類型包括輸入任務(wù)異常、輸入流量異常、特征計(jì)算異常、訓(xùn)練異常和結(jié)果生成異常中的至少一種。