[发明专利]一种基于深度学习的DNS隐蔽隧道检测方法

权利要求书

1.一种基于深度学习的DNS隐蔽隧道检测方法，其特征在于，包括：

使用tcpdump抓包DNS隐蔽通道工具iodine收发的DNS报文，获得黑样本；

使用tcpdump抓包内部DNS流量，获得白样本；

将所述黑样本和所述白样本转换为深度学习检测算法可识别的文件；

对所述可识别文件进行随机抽样，获得抽样数据；

使用80％的所述抽样数据训练卷积神经网络，使用余下20％的所述抽样数据对所述卷积神经网络进行模型验证，生成初步模型；

使用隐蔽通道攻击的DNS样本对所述初步模型进行测试，达到预期效果后，生成一个稳定的检测模型；

使用所述检测模型对DNS隐蔽隧道进行检测。

2.根据权利要求1所述的，其特征在于，所述DNS隐蔽通道工具iodine收发DNS报文时使用直连模式建立DNS通道。

3.根据权利要求1所述的，其特征在于，所述深度学习检测算法可识别的文件为描述DNS协议网络传输报文的文本文件。

4.根据权利要求1所述的，其特征在于，所述卷积神经网络的训练过程加入了embedding层进行数据降维，并将维度定为64维。

5.根据权利要求1所述的，其特征在于，所述卷积神经网络在卷积层使用了一维卷积函数来处理DNS域名片段。

6.根据权利要求1所述的，其特征在于，所述卷积神经网络加入了dropout层做平滑处理。

7.根据权利要求1所述的，其特征在于，所述卷积神经网络的训练过程基于TensorFlow的框架，使用了python的TensorFlow库tflearn。

8.根据权利要求1所述的，其特征在于，所述隐蔽通道攻击的DNS样本具体为XShell隐蔽通道攻击的DNS样本。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至8任意一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被计算机执行以实现根据权利要求1至8任意一项所述的方法。