[發明專利]一種DNS水刑攻擊檢測模型構建方法及流量清洗方法

有效

• 申請號: 202110930732.0
• 申請日: 2021-08-13
• 公開（公告）號: CN113660256B
• 公開（公告）日: 2023-04-18
• 發明（設計）人: 錢珂翔;張道娟;武宏斌;房磊
• 申請（專利權）人: 全球能源互聯網研究院有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;H04L41/14
• 代理公司: 北京三聚陽光知識產權代理有限公司 11250
• 代理人: 李靜玉

1.一種DNS水刑攻擊檢測模型構建方法，其特征在于，包括：

監控DNS請求流量，以得到目標二級域名的DNS請求流量集；

根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，判斷所述目標二級域名是否存在DNS水刑攻擊；

若是，則將所述目標二級域名的DNS請求流量集中的DNS請求流量確定為異常流量；

利用所述異常流量對初始DNS水刑攻擊檢測模型進行訓練，以得到目標DNS水刑攻擊檢測模型；

所述根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，判斷所述目標二級域名是否存在DNS水刑攻擊，包括：

檢測所述DNS請求流量集中各DNS請求流量對應的查詢子域，以得到所述DNS請求流量集的子域查詢多樣性指標；

當所述DNS請求流量集的子域查詢多樣性指標達到預設的子域查詢多樣性指標閾值時，確定所述目標二級域名存在DNS水刑攻擊；

其中，所述方法還包括：

根據如下公式計算所述子域查詢多樣性指標P_dis-domain：

其中，n_{distinct-domain}代表不同子域查詢的數量，n_total代表目標二級域名的查詢總數。

2.根據權利要求1所述的方法，其特征在于，所述根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，判斷所述目標二級域名是否存在DNS水刑攻擊，包括：

檢測所述DNS請求流量集中各DNS請求流量的源IP地址，以得到所述DNS請求流量集的源IP地址多樣性指標；

當所述DNS請求流量集的源IP地址多樣性指標達到預設的源IP地址多樣性指標閾值時，確定所述目標二級域名存在DNS水刑攻擊。

3.根據權利要求1所述的方法，其特征在于，所述利用所述異常流量對初始DNS水刑攻擊檢測模型進行訓練，以得到目標DNS水刑攻擊檢測模型，包括：

獲取與所述異常流量等量的正常流量；

按照預設的編碼規則，分別對所述異常流量和正常流量對應的查詢子域的子域名進行編碼，以得到所述異常流量對應的異常向量特征和正常流量對應的正常向量特征；

將所述異常向量特征和正常流量特征輸入到所述初始DNS水刑攻擊檢測模型，以對所述初始DNS水刑檢測模型進行訓練。

4.根據權利要求1所述的方法，其特征在于，還包括：

當根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，確定所述目標二級域名不存在DNS水刑攻擊時，將所述目標二級域名的DNS請求流量集中的DNS請求流量作為正常流量存儲到預設的歷史數據庫。

5.一種流量清洗方法，其特征在于，包括：

獲取DNS請求流量；

將所述DNS請求流量輸入到如權利要求1-4任一項所述的DNS水刑攻擊檢測模型構建方法所構建的目標DNS水刑攻擊檢測模型；

利用所述目標DNS水刑攻擊檢測模型，判斷所述DNS請求流量是否為異常流量；

若是，則對所述DNS請求流量進行清洗。