[發明專利]一種低吞吐量DNS隱蔽信道檢測方法及裝置

有效

• 申請號: 202110901654.1
• 申請日: 2021-08-06
• 公開（公告）號: CN113810372B
• 公開（公告）日: 2022-10-04
• 發明（設計）人: 章堅武;安彥軍
• 申請（專利權）人: 杭州電子科技大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;G06N3/08;G06N3/04
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 楊天嬌

1.一種低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述低吞吐量DNS隱蔽信道檢測方法，包括：

捕獲低吞吐量DNS隱蔽信道活動的數據集，提取出數據集中的用于檢測的關鍵特征，將提取出的關鍵特征轉換為機器學習的特征向量；

將數據集對應的特征向量輸入到構建好的SPP-Net-LSTM檢測模型中，訓練得到SPP-Net-LSTM檢測模型，所述SPP-Net-LSTM檢測模型包括改進的SPP-Net網絡與代價敏感的LSTM網絡，其中所述改進的SPP-Net網絡中SPP池化層包括并列的1*1、2*2、3*3和4*4四個池化核，所述SPP池化層的輸出直接連接代價敏感的LSTM網絡；

將訓練好的SPP-Net-LSTM檢測模型用于實時檢測，如檢測出異常立即將對應的域設置為不可訪問。

2.根據權利要求1所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述捕獲低吞吐量DNS隱蔽信道活動的數據集，還包括：

對數據集中正常樣本進行欠采樣操作，降低正常樣本的數量。

3.根據權利要求1所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述提取出數據集中的用于檢測的關鍵特征，包括域名、資源記錄、TTL值、特定域名的主機名個數、相同TLD下兩個請求的時間差、NXDOMAIN記錄、最近添加的A記錄與NS記錄中的一種或多種。

4.根據權利要求3所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述將提取出的關鍵特征轉換為機器學習的特征向量，對于資源記錄，如果出現不常使用的記錄，則標記為0，否則標記為1。

5.根據權利要求3所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述將提取出的關鍵特征轉換為機器學習的特征向量，對于TTL值，如果TTL的值在[0,100]之間，則標記為0，否則標記為1。

6.根據權利要求3所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述將提取出的關鍵特征轉換為機器學習的特征向量，對于NXDOMAIN記錄，如果數據集中一條數據出現“NXDOMAIN”響應，則標記為0，否則標記為1。

7.根據權利要求3所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述將提取出的關鍵特征轉換為機器學習的特征向量，對于最近添加的A記錄與NS記錄，首先建立一個歷史A記錄和NS記錄的集合，如果數據集中一條數據的A記錄或NS記錄從未在集合中出現過，則標記該條數據為0，否則標記為1。

8.根據權利要求3所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，對于域名，所述將提取出的關鍵特征轉換為機器學習的特征向量，包括：

去除域名中的分割符；

刪除所有域名的頂級域TLD；

統計每個二級域名SLD名稱中的字符；

為統計的字符創建詞匯表；

為詞匯表中的每個字符分配一個唯一的整數標簽；

將SLD名稱中的每個字符替換為對應的整數標簽，從而得到該標簽所代表的特征向量。

9.根據權利要求1所述的低吞吐量DNS隱蔽信道檢測方法，其特征在于，所述代價敏感的LSTM網絡的損失函數為：

其中，pos表示小數樣本的集合，neg表示多數樣本的集合，x_i表示少數集合或者多數集合中的一個樣本，y_i表示樣本x_i對應的真實標簽，p_i為對樣本x_i的預測概率，C代表懲罰系數。

10.一種低吞吐量DNS隱蔽信道檢測裝置，包括處理器以及存儲有若干計算機指令的存儲器，其特征在于，所述計算機指令被處理器執行時實現權利要求1至權利要求9中任意一項所述方法的步驟。