[發明專利]一種流量檢測方法及裝置

有效

• 申請號: 202110741330.6
• 申請日: 2021-06-30
• 公開（公告）號: CN113489709B
• 公開（公告）日: 2023-06-20
• 發明（設計）人: 甘蕊靈;崔翔;王忠儒;刁嘉文;王田;宋首友
• 申請（專利權）人: 丁牛信息安全科技（江蘇）有限公司;北京丁牛科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 魯麗美

本申請公開一種流量檢測方法及系統，該方法及系統在進行流量檢測時，至少提取待檢測流量的域名結構性特征(即，待檢測流量的至少部分域名信息的結構特征)作為流量特征，并至少根據待檢測流量的域名結構性特征確定待檢測流量是否為惡意流量。可見，本申請通過探究出惡意流量在變種中不會改變的本質——流量的域名結構性特征，并至少將流量的域名結構性特征作為檢測點，可使得無論是對于已知的攻擊流量，還是已知攻擊流量的變種形式，本申請都能夠有很好的檢測效果。

技術領域

本申請屬于網絡空間安全領域，尤其涉及一種流量檢測方法及裝置。

背景技術

APT(Advanced?Persistent?Threat，高級可持續威脅攻擊)是過去以及目前乃至未來對網絡環境帶來嚴重安全威脅的惡意網絡活動。遠程命令控制是APT活動中的關鍵環節之一，攻擊者常常將遠程命令控制乃至控制結果上傳、數據竊取等攻擊信息附在HTTP(Hypertext?Transfer?Protocol，超文本傳輸協議)、DNS(Domain?Name?System，域名系統)、FTP(File?Transfer?Protocol，文件傳輸協議)流量之上，將這些攜帶惡意信息的流量與受控主機的正常HTTP、DNS、FTP流量混合在一起，以達到繞過防御方的檢測的目的。

而DNS流量作為用戶日常網絡訪問的基礎流量，在網絡中大量存在，且防火墻等基礎防御設施對DNS流量檢測不夠嚴格，導致DNS流量更容易攜帶惡意信息穿越網絡邊緣的防護設施。

隨著網絡攻防對抗的持續升級，攻擊者也在不斷根據防御手段改進攻擊技術，如對同一惡意工具進行變種等，以達到繞過防御設施、完成網絡攻擊活動的目的。申請人發現，目前的DNS流量檢測技術，在進行DNS流量檢測時所選用的檢測特征只是抓住了惡意流量的表象而非本質，導致原本對于某一個或者幾個版本的惡意工具流量能夠達到高精度檢測的檢測器，在面對同一惡意工具的不同變種時失去檢測能力。例如，目前的檢測技術通常將互信息、域名的信息熵、生成頻率等作為核心檢測點(即，檢測特征)，不能抓住惡意流量的本質，以生成頻率為例，某研究成果在2016年被提出時，均能夠成功檢測出FrameworkPOS和Denis這兩個APT攻擊中所使用的DNS惡意工具生成的DNS流量，然而到了2018年，研究人員發現這兩個工具的變種，其變化特點之一就是能夠以較低的頻率生成并進行惡意DNS查詢請求，在低速傳播的情況下，2016年的上述研究成果對這兩個工具的DNS流量喪失了檢測精度。因此，本領域亟需提供一種改進的流量檢測技術，以至少增強檢測器在面對同一惡意工具不同變種時的檢測能力。

發明內容

有鑒于此，本申請提供一種流量檢測方法及系統，用于解決現有檢測技術所使用的檢測特征無法抓住惡意流量在變種中不會改變的本質，導致對于變種惡意流量無法檢測的問題。

具體技術方案如下：

一種流量檢測方法，包括：

獲取待檢測流量；

提取所述待檢測流量的流量特征；所述流量特征至少包括所述待檢測流量的域名結構性特征，所述域名結構性特征為所述待檢測流量的至少部分域名信息的結構特征；

根據所述待檢測流量的流量特征，確定所述待檢測流量是否為惡意流量。

可選的，所述獲取待檢測流量，包括：

接收提交的在線檢測任務；

獲取所述在線檢測任務對應的待檢測流量；

其中，所述在線檢測任務的任務類型包括實時流量監測類型和流量包文件檢測類型。

可選的，所述待檢測流量包括一組具備相同二級域名的域名系統DNS查詢流量；

所述提取所述待檢測流量的流量特征，包括：