[发明专利]一种APT攻击检测方法、装置、电子设备及可读存储介质

权利要求书

1.一种APT攻击检测方法，其特征在于，包括：

获取DNS请求数据，并从所述DNS请求数据中提取得到实际文法特征；

判断所述实际文法特征与恶意文法特征是否一致；其中，所述恶意文法特征为从包含有APT攻击的DNS请求中提取得到的文法特征；

若一致，则确定所述DNS请求数据对应的DNS服务器；

判断所述DNS服务器是否可信；

若不一致或可信，则判定所述DNS请求数据中不包含APT攻击；

若不可信，则判定所述DNS请求数据中包含APT攻击。

2.根据权利要求1所述的APT攻击检测方法，其特征在于，从所述DNS请求数据中提取得到实际文法特征，包括：

从所述DNS请求数据中提取得到包括中英文特征、域名长度特征、域名级数特征、域名编码率特征、访问时间分布特征在内的至少一项实际文法特征。

3.根据权利要求2所述的APT攻击检测方法，其特征在于，当所述实际文法特征和所述恶意文法特征均仅基于域名编码率特征构建时，判断所述实际文法特征与恶意文法特征是否一致，包括：

判断所述实际文法特征的编码量和信息熵是否分别处于所述恶意文法特征的编码量范围和信息熵范围；

若所述实际文法特征的编码量和信息熵均处于所述恶意文法特征对应的编码量范围和信息熵范围，判定所述实际文法特征与所述恶意文法特征一致；

若所述实际文法特征的编码量和编码量未均处于所述恶意文法特征对应的编码量范围和信息熵范围，判定所述实际文法特征与所述恶意文法特征不一致。

4.根据权利要求2所述的APT攻击检测方法，其特征在于，还包括：

利用机器学习算法，将从包含有APT攻击的DNS请求数据中提取得到的各项恶意文法特征进行建模，得到分类器；

对应的，判断所述实际文法特征与恶意文法特征是否一致，包括：

利用所述分类器判断所述实际文法特征与所述恶意文法特征是否一致。

5.根据权利要求1所述的APT攻击检测方法，其特征在于，确定所述DNS请求数据对应的DNS服务器，包括：

通过发送类型为NS的新DNS请求来确定所述DNS请求数据对应的DNS服务器；

和/或，

通过查询预先记录的Whois信息来确定所述DNS请求数据对应的DNS服务器；

和/或，

通过从根服务器按递归查询方式查询NS记录来确定所述DNS请求数据对应的DNS服务器。

6.根据权利要求5所述的APT攻击检测方法，其特征在于，确定所述DNS请求数据对应的DNS服务器，包括：

判断已存储Whois信息中是否记录有所述DNS请求数据对应的DNS服务器；

若未记录，则判断能否通过发送类型为NS的新DNS请求来确定所述DNS服务器；

若无法通过发送所述新DNS请求来确定所述DNS服务器，则通过从所述根服务器按递归查询方式查询NS记录来确定所述DNS服务器。

7.根据权利要求1至6任一项所述的APT攻击检测方法，其特征在于，还包括：

将对应可信的DNS服务器的DNS请求数据标记为目标数据；

利用从所述目标数据中提取得到的文法特征调整所述恶意文法特征。