[发明专利]攻击检测方法和装置

权利要求书

1.一种攻击检测方法，包括：

利用域名系统DNS探针获取DNS数据；

对所述DNS数据进行解析；

在解析结果存在异常特征的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息；

在所述客户端IP地址存在告警信息的情况下，进行高级持续性威胁APT告警；

在所述客户端IP地址不存在告警信息的情况下，进一步查询所述客户端IP地址是否被添加第一标识；

在所述客户端IP地址未被添加第一标识的情况下，给所述客户端IP地址添加第一标识。

2.根据权利要求1所述的方法，其中，还包括：

在所述客户端IP地址已被添加第一标识的情况下，将所述第一标识转换为第二标识，以便进行安全排查。

3.根据权利要求1-2中任一项所述的方法，其中，还包括：

在解析结果不存在异常特征的情况下，对所述DNS数据的连接特征进行统计分析；

在统计分析值大于预定门限的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息；

在所述客户端IP地址存在告警信息的情况下，进行APT告警。

4.根据权利要求1所述的方法，其中，

所述异常特征包括数据包格式解析异常、解析完毕时指针未在用户数据报协议UDP载荷末尾和编码域名含前向指针中的至少一项。

5.根据权利要求3所述的方法，其中，

所述连接特征包括请求域名的标签数量、请求域名存储的数据量、请求域名包含二进制数据的数量、DNS回答消息的资源记录数据大小和DNS回答消息包含规范名称CNAME记录的数量中的至少一项。

6.一种攻击检测装置，包括：

数据获取模块，被配置为利用域名系统DNS探针获取DNS数据；

解析模块，被配置为对所述DNS数据进行解析；

第一查询模块，被配置为在解析结果存在异常特征的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息；

告警模块，被配置为在所述客户端IP地址存在告警信息的情况下，进行高级持续性威胁APT告警；

第二查询模块，被配置为在所述客户端IP地址不存在告警信息的情况下，进一步查询所述客户端IP地址是否被添加第一标识；

标识管理模块，被配置为在所述客户端IP地址未被添加第一标识的情况下，给所述客户端IP地址添加第一标识。

7.根据权利要求6所述的装置，其中，

标识管理模块还被配置为在所述客户端IP地址已被添加第一标识的情况下，将所述第一标识转换为第二标识，以便进行安全排查。

8.根据权利要求6-7中任一项所述的装置，其中，还包括：

统计分析模块，被配置为在解析结果不存在异常特征的情况下，对所述DNS数据的连接特征进行统计分析；

识别模块，被配置为统计分析值是否大于预定门限；

第一查询模块还被配置为在统计分析值大于预定门限的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息。

9.根据权利要求6所述的装置，其中，

所述异常特征包括数据包格式解析异常、解析完毕时指针未在用户数据报协议UDP载荷末尾和编码域名含前向指针中的至少一项。

10.根据权利要求8所述的装置，其中，

所述连接特征包括请求域名的标签数量、请求域名存储的数据量、请求域名包含二进制数据的数量、DNS回答消息的资源记录数据大小和DNS回答消息包含规范名称CNAME记录的数量中的至少一项。

11.一种攻击检测装置，包括：

存储器，被配置为存储指令；

处理器，耦合到存储器，处理器被配置为基于存储器存储的指令执行实现如权利要求1-5中任一项所述的方法。

12.一种计算机可读存储介质，其中，计算机可读存储介质存储有计算机指令，指令被处理器执行时实现如权利要求1-5中任一项所述的方法。