[发明专利]一种基于深度学习的DNS隐蔽隧道检测方法

说明书

本发明公开了一种基于深度学习的DNS隐蔽隧道检测方法，其特征在于，包括：使用tcpdump抓包DNS隐蔽通道工具iodine收发的DNS报文，获得黑样本；使用tcpdump抓包内部DNS流量，获得白样本；将所述黑样本和所述白样本转换为深度学习检测算法可识别的文件；对所述可识别文件进行随机抽样，获得抽样数据；使用80％的所述抽样数据训练卷积神经网络，使用余下20％的所述抽样数据对所述卷积神经网络进行模型验证，生成初步模型；使用隐蔽通道攻击的DNS样本对所述初步模型进行测试，达到预期效果后，生成一个稳定的检测模型；使用所述检测模型对DNS隐蔽隧道进行检测。

技术领域

本发明涉及网络安全领域，特别是指一种基于深度学习的DNS隐蔽隧道检测方法。

背景技术

DNS隐蔽隧道是众多隐蔽通道中的一种，由于大部分防火墙、入侵检测系统、入侵防御系统都很少对DNS流量进行检测，这就给DNS作为隐蔽隧道提供了条件，而目前DNS隐蔽通道的检测工具诸如有iodine、dnscat2、dns2tcp，需要人工整理规则和更新规则库，有些采用聚类、分类等传统机器学习的DNS隐蔽隧道检测模型虽然一定上减少了人力成本但却无法自动学习抽象特征，效率较低，仍需人工处理部分数据。

发明内容

有鉴于此，本发明的目的在于提出一种节省人力成本、更高效率的DNS隐蔽隧道检测方法。

基于上述目的，本发明提供了一种基于深度学习的DNS隐蔽隧道检测方法，其特征在于，包括：

使用tcpdump抓包DNS隐蔽通道工具iodine收发的DNS报文，获得黑样本；

使用tcpdump抓包内部DNS流量，获得白样本；

将所述黑样本和所述白样本转换为深度学习检测算法可识别的文件；

对所述可识别文件进行随机抽样，获得抽样数据；

使用80％的所述抽样数据训练卷积神经网络，使用余下20％的所述抽样数据对所述卷积神经网络进行模型验证，生成初步模型；

使用隐蔽通道攻击的DNS样本对所述初步模型进行测试，达到预期效果后，生成一个稳定的检测模型；

使用所述检测模型对DNS隐蔽隧道进行检测。

在一些实施方式中，所述DNS隐蔽通道工具iodine收发DNS报文时使用直连模式建立DNS通道。

在一些实施方式中，所述深度学习检测算法可识别的文件为描述DNS协议网络传输报文的文本文件。

在一些实施方式中，所述卷积神经网络的训练过程加入了embedding层进行数据降维，并将维度定为64维。

在一些实施方式中，所述卷积神经网络在卷积层使用了一维卷积函数来处理DNS域名片段。

在一些实施方式中，所述卷积神经网络加入了dropout层做平滑处理。

在一些实施方式中，所述卷积神经网络的训练过程基于TensorFlow的框架，使用了python的TensorFlow库tflearn。

在一些实施方式中，所述隐蔽通道攻击的DNS样本具体为XShell隐蔽通道攻击的DNS样本。

另一方面，本发明还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至8任意一项所述的方法。

另一方面，本发明还提供了一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被计算机执行以实现根据权利要求1至8任意一项所述的方法。