[发明专利]攻击检测方法和装置

说明书

本公开提供一种攻击检测方法和装置。攻击检测装置利用DNS探针获取DNS数据，对DNS数据进行解析，在解析结果存在异常特征的情况下，进一步查询与DNS数据相关联的客户端IP地址是否存在告警信息，在客户端IP地址存在告警信息的情况下，进行APT告警。本公开通过对DNS数据进行分析，同时结合对相应客户端IP地址进行安全分析，可有效提升对APT攻击的探测能力。

技术领域

本公开涉及信息安全领域，特别涉及一种攻击检测方法和装置。

背景技术

APT(Advanced Persistent Threat，高级持续性威胁)攻击不以破坏目标系统的可用性、可靠性为主要目的，旨在窃取高价值的数据、资料、文件，具有明确的目标性和长期的行为隐蔽性。

网络隐蔽通道是APT攻击者绕过网络安全策略进行数据传输的重要途径，而DNS(Domain Name System，域名系统)是实现应用层隐蔽通道的常用手段。

DNS协议的隐蔽通道可分为2类：第一类利用DNS的递归域名解析。攻击者注册一个域名，并将其NS(Name Server，域名服务器)设置为隐蔽通道的服务器。隐蔽通道客户端向任意一台DNS递归服务器请求该域下子域名，均可实现与服务器通信；另一类是客户端通过UDP(User Datagram Protocol，用户数据报协议)53端口与隐蔽通道服务器直接通信。

发明内容

发明人通过研究发现，由于DNS在网络运行中的重要地位，DNS协议几乎不会被防火墙策略阻拦。通过域名递归解析的DNS隐蔽通道客户端只需请求本地DNS服务器，而不必与通道的另一方直接通信，大大增加了访问控制策略制定的难度。目前较少对DNS报文进行有效的监控管理，造成对利用DNS隐蔽通道的APT攻击无法检测。

为此，本公开提供一种能够对APT攻击进行有效检测的方案。

根据本公开的一个或多个实施例的一个方面，提供一种攻击检测方法，包括：利用域名系统DNS探针获取DNS数据；对所述DNS数据进行解析；在解析结果存在异常特征的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息；在所述客户端IP地址存在告警信息的情况下，进行高级持续性威胁APT告警。

在一些实施例中，上述方法还包括：在所述客户端IP地址不存在告警信息的情况下，进一步查询所述客户端IP地址是否被添加第一标识；在所述客户端IP地址未被添加第一标识的情况下，给所述客户端IP地址添加第一标识。

在一些实施例中，上述方法还包括：在所述客户端IP地址已被添加第一标识的情况下，将所述第一标识转换为第二标识，以便进行安全排查。

在一些实施例中，上述方法还包括：在解析结果不存在异常特征的情况下，对所述DNS数据的连接特征进行统计分析；在统计分析值大于预定门限的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息；在所述客户端IP地址存在告警信息的情况下，进行APT告警。

在一些实施例中，所述异常特征包括数据包格式解析异常、解析完毕时指针未在用户数据报协议UDP载荷末尾和编码域名含前向指针中的至少一项。

在一些实施例中，所述连接特征包括请求域名的标签数量、请求域名存储的数据量、请求域名包含二进制数据的数量、DNS回答消息的资源记录数据大小和DNS回答消息包含规范名称CNAME记录的数量中的至少一项。

根据本公开的一个或多个实施例的另一个方面，提供一种攻击检测装置，包括：数据获取模块，被配置为利用域名系统DNS探针获取DNS数据；解析模块，被配置为对所述DNS数据进行解析；第一查询模块，被配置为在解析结果存在异常特征的情况下，进一步查询与所述DNS数据相关联的客户端IP地址是否存在告警信息；告警模块，被配置为在所述客户端IP地址存在告警信息的情况下，进行高级持续性威胁APT告警。