[发明专利]一种DNS流量检测方法以及DNS流量检测系统

权利要求书

1.一种DNS流量检测方法，其特征在于，具备下述步骤：

DNS流量样本步骤，在外网出口处或者内部DNS服务器处采集DNS流量样本；

关键信息提取步骤，对于采集到的DNS流量样本提取关键信息；

数据预处理步骤，从提取了关键信息的DNS流量样本中剔除非相关内容得到待查询域名；

域名信誉库检测步骤，根据域名信誉库，对于所述待查询域名进行检测并筛选出恶意域名；以及

模型检测步骤，将经过所述数据预处理步骤得到的所述得到待查询域名输入到规定模型中取出规定模型标识的恶意域名。

2.如权利要求1所述的DNS流量检测方法，其特征在于，在所述模型检测步骤之后进一步具备：

排查步骤，对所述域名信誉库检测步骤和所述模型检测步骤得到的恶意域名进行进一步排查梳理得到可能性大的恶意域名。

3.如权利要求1所述的DNS流量检测方法，其特征在于，

在所述排查步骤之后进一步具备：

恶意域名请求源获得步骤，根据检测到的恶意域名可得出恶意域名的请求源并加以清除。

4.如权利要求1所述的DNS流量检测方法，其特征在于，

在所述数据预处理步骤，作为所述非相关内容，包括应答报文、以及无需进行分析的域名或者来自白名单IP的查询。

5.如权利要求1所述的DNS流量检测方法，其特征在于，

在所述模型检测步骤中，将待查询域名输入到规定的算法侦测模型中取出该模型标识的恶意域名。

6.如权利要求1所述的DNS流量检测方法，其特征在于，

在所述排查步骤，对所述域名信誉库检测步骤和所述模型检测步骤得到的恶意域名进行进一步排查梳理并根据所述域名信誉库或者所述规定模型对恶意域名进行恶意度打分，最后得到可能性大的恶意域名。

7.一种DNS流量检测系统，其特征在于，具备：

流量采集设备，设置在外网出口处或者内部DNS服务器处并且用于采集DNS流量样本；

域名信誉库，用于存储与域名相关的信息；

域名分析处理设备，用于对于由所述流量采集设备采集到的DNS流量样本提取关键信息并剔除非相关内容得到待查询域名，根据上述根据域名信誉库，对于所述待查询域名进行检测筛选出恶意域名以及或者将所述待查询域名输入到规定模型中取出规定模型标识的恶意域名。

8.如权利要求7所述的DNS流量检测系统，其特征在于，所述域名分析处理设备具备：

关键信息提取模块，用于对于采集到的DNS流量样本提取关键信息；

数据预处理模块，用于从提取了关键信息的DNS流量样本中剔除非相关内容得到待查询域名；

域名信誉库检测模块，用于根据域名信誉库，对于所述待查询域名进行检测并筛选出恶意域名；以及

模型检测模块，将利用所述数据预处理模块得到的待查询域名输入到规定模型中取出规定模型标识的恶意域名。

9.如权利要求7所述的DNS流量检测系统，其特征在于，所述域名分析处理设备进一步具备：

排查步骤模块，对于所述域名信誉库检测模块和所述模型检测模块得到的恶意域名进行进一步排查梳理得到可能性大的恶意域名。

10.如权利要求7所述的DNS流量检测系统，其特征在于，所述域名分析处理设备进一步具备：

恶意域名请求源获得模块，根据检测到的恶意域名可得出恶意域名的请求源并加以清除。

11.如权利要求7所述的DNS流量检测系统，其特征在于，

所述数据预处理模块作为所述非相关内容剔除掉包括应答报文、以及无需进行分析的域名或者来自白名单IP的查询。