[發明專利]一種DNS水刑攻擊檢測模型構建方法及流量清洗方法

有效

• 申請號: 202110930732.0
• 申請日: 2021-08-13
• 公開（公告）號: CN113660256B
• 公開（公告）日: 2023-04-18
• 發明（設計）人: 錢珂翔;張道娟;武宏斌;房磊
• 申請（專利權）人: 全球能源互聯網研究院有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;H04L41/14
• 代理公司: 北京三聚陽光知識產權代理有限公司 11250
• 代理人: 李靜玉

本申請提供一種DNS水刑攻擊檢測模型構建方法及流量清洗方法，該DNS水刑攻擊檢測模型構建方法，包括：監控DNS請求流量，以得到目標二級域名的DNS請求流量集；根據目標二級域名的DNS請求流量集的DNS請求分布情況，判斷目標二級域名是否存在DNS水刑攻擊；若是，則將目標二級域名的DNS請求流量集中的DNS請求流量確定為異常流量；利用異常流量對初始DNS水刑攻擊檢測模型進行訓練，以得到目標DNS水刑攻擊檢測模型。上述方案得到的目標DNS水刑攻擊檢測模型可以檢測一次性域的攻擊，為實現全面保障DNS服務器安全性奠定了基礎。

技術領域

本申請涉及網絡安全技術領域，尤其涉及一種DNS水刑攻擊檢測模型構建方法及流量清洗方法。

背景技術

域名系統(Domain?Name?System，簡稱：DNS)是將域名和IP地址相互映射的一個分布式數據庫，DNS水刑攻擊是一種針對DNS服務器的分布式拒絕服務(DDoS)攻擊，目的是耗盡目標域名所屬權威服務器的資源，導致服務中斷等。

在現有技術中，通常采用白名單機制，過濾掉不在有效子域列表中的前綴，或采用黑名單制，阻止水刑攻擊請求進入遞歸解析階段，以實現防御DNS水刑攻擊。

但是，現有技術僅適用于檢測針對常規域的攻擊，難以檢測由大量隨機子域組成的一次性域的攻擊，導致無法全面保障DNS服務器的安全性。

發明內容

本申請提供一種DNS水刑攻擊檢測模型構建方法及流量清洗方法，以解決現有技術難以檢測由大量隨機子域組成的一次性域的攻擊，導致無法全面保障DNS服務器的安全性等缺陷。

本申請第一個方面提供一種DNS水刑攻擊檢測模型構建方法，包括：

監控DNS請求流量，以得到目標二級域名的DNS請求流量集；

根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，判斷所述目標二級域名是否存在DNS水刑攻擊；

若是，則將所述目標二級域名的DNS請求流量集中的DNS請求流量確定為異常流量；

利用所述異常流量對初始DNS水刑攻擊檢測模型進行訓練，以得到目標DNS水刑攻擊檢測模型。

可選的，所述根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，判斷所述目標二級域名是否存在DNS水刑攻擊，包括：

檢測所述DNS請求流量集中各DNS請求流量對應的查詢子域，以得到所述DNS請求流量集的子域查詢多樣性指標；

當所述DNS請求流量集的子域查詢多樣性指標達到預設的子域查詢多樣性指標閾值時，確定所述目標二級域名存在DNS水刑攻擊。

可選的，所述根據所述目標二級域名的DNS請求流量集的DNS請求分布情況，判斷所述目標二級域名是否存在DNS水刑攻擊，包括：

檢測所述DNS請求流量集中各DNS請求流量的源IP地址，以得到所述DNS請求流量集的源IP地址多樣性指標；

當所述DNS請求流量集的源IP地址多樣性指標達到預設的源IP地址多樣性指標閾值時，確定所述目標二級域名存在DNS水刑攻擊。

可選的，所述利用所述異常流量對初始DNS水刑攻擊檢測模型進行訓練，以得到目標DNS水刑攻擊檢測模型，包括：

獲取與所述異常流量等量的正常流量；

按照預設的編碼規則，分別對所述異常流量和正常流量對應的查詢子域的子域名進行編碼，以得到所述異常流量對應的異常向量特征和正常流量對應的正常向量特征；

將所述異常向量特征和正常流量特征輸入到所述初始DNS水刑攻擊檢測模型，以對所述初始DNS水刑檢測模型進行訓練。