[发明专利]一种异常通信检测方法、装置及电子设备和存储介质

权利要求书

1.一种异常通信检测方法，其特征在于，包括：

对流经DNS端口的流量进行采集；

获取采集到的流量的应用层内容，并判断所述应用层内容是否符合DNS协议规范；

分别对不符合DNS协议规范的种类和次数进行统计，得到各个流量IP地址对应的异常种类和异常次数；

若所述异常种类超过第一阈值，且所述异常次数占总次数的比例超过第二预设阈值，则判定对应的流量IP地址使用DNS端口进行异常通信，生成告警信息。

2.根据权利要求1所述的异常通信检测方法，其特征在于，所述分别对不符合DNS协议规范的种类和次数进行统计，得到各个流量IP地址对应的异常种类和异常次数，包括：

获取采集到的流量的传输层内容，得到各个流量对应的源IP地址和目的IP地址；

将所述源IP地址和所述目的IP地址作为地址对，分别统计各个地址对不符合DNS协议规范的异常种类和异常次数。

3.根据权利要求2所述的异常通信检测方法，其特征在于，还包括：

将不符合DNS协议规范的流量数据保存至存储区，以便进行回溯分析。

4.根据权利要求1所述的异常通信检测方法，其特征在于，所述判断所述应用层内容是否符合DNS协议规范，包括：

判断请求类型是否在有效请求类型范围内，判断数据偏移长度是否低于数据总长度，判断响应类型是否在有效响应类型范围内，判断响应类型与实际响应内容是否相同，或判断域名是否符合域名基本特征。

5.根据权利要求1至4任一项所述的异常通信检测方法，其特征在于，所述判定对应的流量IP地址使用DNS端口进行异常通信，生成告警信息之后，还包括：

根据所述流量IP地址确定对应的目标进程，对所述目标进程进行关闭操作。

6.根据权利要求5所述的异常通信检测方法，其特征在于，所述告警信息包括：流量IP地址、异常种类、异常次数，异常次数占总次数的比例和异常对应的流量数据中任一项或任几项的组合。

7.一种异常通信检测装置，其特征在于，包括：

流量采集模块，用于对流经DNS端口的流量进行采集；

协议判断模块，用于获取采集到的流量的应用层内容，并判断所述应用层内容是否符合DNS协议规范；

异常统计模块，用于分别对不符合DNS协议规范的种类和次数进行统计，得到各个流量IP地址对应的异常种类和异常次数；

异常告警模块，用于若所述异常种类超过第一阈值，且所述异常次数占总次数的比例超过第二预设阈值，则判定对应的流量IP地址使用DNS端口进行异常通信，生成告警信息。

8.根据权利要求7所述的异常通信检测装置，其特征在于，所述异常统计模块，包括：

确定单元，用于获取采集到的流量的传输层内容，得到各个流量对应的源IP地址和目的IP地址；

统计单元，用于将所述源IP地址和所述目的IP地址作为地址对，分别统计各个地址对不符合DNS协议规范的异常种类和异常次数。

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至4任一项所述异常通信检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述异常通信检测方法的步骤。