[发明专利]一种恶意代码感染主机规模估计系统和方法

说明书

技术领域

本发明涉及网络通信安全领域，特别是涉及一种恶意代码感染主机规模估计系统和方法。

背景技术

准确有效地获取恶意代码感染主机的规模，对深入分析和研究其传播机理和对互联网的破坏程度有着重要意义。不幸的是，尽管这些宝贵的信息对于恶意代码的早期防范和态势评估十分必要，但网络管理员出于某些因素的考虑，往往不愿透露其网络内的恶意代码感染情况。为了了解恶意代码的感染情况，一种常用的办法是在用户主机部署信息采集的客户端，例如：采用浏览器插件的形式记录用户主机访问的URL。然而，这种手段面临隐私保护问题。一方面，用户因不愿意被监控而不配合部署该类客户端，这极大地影响了数据的完整性；另一方面，这种主机端监控方式可能被利用作为后门程序，造成严重的安全隐患。

发明内容

针对现有技术的不足，本发明的目的在于提出一种基于DNS缓存探测的特定区域恶意代码感染主机规模估计方法。该方法通过对特定区域范围内DNS解析器进行探测，收集恶意域名在各个DNS解析器中的缓存信息，并基于该信息构建混合指数估计模型，估计恶意代码在相应网络域中感染主机的规模。

本发明的技术方案为：

一种基于DNS缓存探测的恶意代码感染主机规模估计系统，包括以下模块：

DNS解析器搜索模块，用于在特定区域范围内搜索可用作探测的DNS解析器，该模块输出的每一个DNS解析器对应于一个可以进行恶意代码感染主机规模估计的网络域；

DNS探测模块，用于实时探测给定的一个或多个恶意代码的命令与控制域名在由所述DNS解析器搜索模块提供的DNS解析器中的缓存信息，作为恶意代码感染主机规模估计模块的输入。

恶意代码感染主机规模估计模块，基于所述DNS探测模块的输出构建混合指数估计模型，估计给定的一个或多个恶意代码在由所述DNS解析器搜索模块提供的各DNS解析器所对应的网络域中感染主机的规模。

在另一实施例中，本发明提出了一种基于DNS缓存探测的恶意代码感染主机规模估计方法，包括以下步骤：

DNS解析器搜索：在特定区域范围内搜索可用作探测的DNS解析器，输出的每一个DNS解析器对应于一个可以进行恶意代码感染主机规模估计的网络域；

DNS探测：实时探测给定的一个或多个恶意代码的命令与控制域名在由所述DNS解析器搜索步骤提供的DNS解析器中的缓存信息，作为恶意代码感染主机规模估计模块的输入。

恶意代码感染主机规模估计：基于所述DNS探测步骤的输出构建混合指数估计模型，估计给定的一个或多个恶意代码在由所述DNS解析器搜索步骤提供的各DNS解析器所对应的网络域中感染主机的规模。

本发明具有以下有益的效果：

首先，无需在用户主机安装任何客户端，不涉及隐私保护也不造成额外的安全问题；其次，无需捕获各个网络的出口流量，无需任何的授权，易于部署和实施；最后，开销适度，提供一种轻量级的网络安全态势监控工具，具有很强的实用性。

附图说明

图1为基于DNS缓存探测的特定区域恶意代码感染主机规模估计系统模块图；

图2为DNS解析器搜索模块处理流程图；

图3为DNS缓存探测原理图。

具体实施方式

以下结合附图对本发明的技术方案进行详细说明。

参见图1所示，基于DNS缓存探测的特定区域恶意代码感染主机规模估计系统包含DNS解析器搜索模块、DNS探测模块和恶意代码感染主机规模估计模块。

DNS解析器搜索模块，用于在特定区域范围(例如地理区域，如指定的国家、省、市)内搜索可用作探测的DNS解析器。该模块输出的每一个DNS解析器对应于一个可以进行恶意代码感染主机规模估计的网络域。

DNS探测模块，用于实时探测给定的一个或多个恶意代码的命令与控制域名在由DNS解析器搜索模块提供的DNS解析器中的缓存信息，作为恶意代码感染主机规模估计模块的输入。

恶意代码感染主机规模估计模块，基于模块DNS探测模块的探测记录，估计给定的一个或多个恶意代码在各DNS解析器所对应的网络域中感染主机的规模。

下面，具体介绍各个模块的原理和流程。

如图2所示，DNS解析器搜索模块采用如下步骤，在特定区域范围内搜索可用作探测的DNS解析器。

(1)注册一个DNS域，并在该DNS域下注册域名d。域名d为非公开域名，即现有的网络应用不可能请求该域名。