[发明专利]一种恶意域名请求终端的快速定位处置方法及系统

说明书

本发明涉及一种恶意域名请求终端的快速定位处置方法及系统，包括步骤：步骤S1：在DNS服务器上建立数据库；步骤S2：获取DNS服务器日志，提取其域名；步骤S3：如果当前域名在白名单数据库中，则进入步骤S6，否则进入步骤S4；步骤S4：如果当前域名在黑名单数据库中，定位该域名所对应的感染终端IP，进行告警，否则进入步骤S5；步骤S5：如果判定当前域名为良性域名，则将此域名加入白名单数据库，并进入步骤S6；如果判定当前域名为恶意域名，则将此域名加入黑名单数据库，并定位该域名所对应的感染终端IP及其主机用户信息，进行告警；步骤S6：将此条DNS服务器日志删除。本发明能够快速准确定位访问恶意域名的主机IP地址及其主机使用者信息。

技术领域

本发明涉及计算机桌面终端系统安全技术领域，特别是一种恶意域名请求终端的快速定位处置方法及系统。

背景技术

随着全球互联网络用户的持续增长和网络应用的丰富，威胁网络安全的技术也在不断发展，恶意域名网站给网民们带来的财产安全和隐私安全的威胁也在极速增加，同时也给企业增加了网络安全防护建设的成本。特别是对于一些大型企业而言，桌面终端数量庞大，一旦出现主机被感染的问题，由于同处于一个局域网，主机间可以相互关联，随时数据的调用，恶意代码会在多个主机间进行快速的感染。

而现有的技术很难从DNS服务器日志中快速找到恶意域名，且无法准确找到受感染的具体IP。

发明内容

有鉴于此，本发明的目的是提出一种恶意域名请求终端的快速定位处置方法及系统，能够快速准确定位访问恶意域名的主机IP地址及其主机使用者信息，便于运维人员快速定位被感染主机，达到快速预警，并及时处置的效果，保障信息系统的安全性和可用性。

本发明采用以下方案实现：一种恶意域名请求终端的快速定位处置方法，其具体包括以下步骤：

步骤S1：在DNS服务器上建立数据库，包括：域名白名单数据库、域名黑名单数据库、系统IP地址划分表；

步骤S2：获取当前的DNS服务器日志，解析DNS报文，提取其域名；

步骤S3：将提取到的域名与白名单数据库匹配，如果当前域名在白名单数据库中，则进入步骤S6，否则进入步骤S4；

步骤S4：将提取到的域名与黑名单数据库匹配，如果当前域名在黑名单数据库中，则将此域名标记，并定位该域名所对应的感染终端IP及其主机用户信息，进行告警；否则进入步骤S5；

步骤S5：对该提取到的域名进行检测判定，如果判定当前域名为良性域名，则将此域名加入白名单数据库，并进入步骤S6；如果判定当前域名为恶意域名，则将此域名加入黑名单数据库，并定位该域名所对应的感染终端IP及其主机用户信息，进行告警；

步骤S6：将此条DNS服务器日志删除，以防止DNS服务器日志过大，减少之后检索工作量。

进一步地，步骤S4与步骤S5中的所述定位该域名所对应的感染终端IP具体为：通过在DNS服务器上添加对恶意域名的解析，将请求指向指定的一个终端IP，该终端用于接收并解析恶意域名，通过在该指定终端上运行预设的脚本，自动定位感染终端的IP；该预设的脚本用于监听tcp80端口并对收到的请求进行分析，得到请求者的IP，即感染终端的IP。由于感染恶意程序的客户端在DNS解析后得到指定终端的IP，因此在本指定终端收到的请求IP都是感染恶意程序的终端IP，不管经过了几层DNS递归解析，都能准确得到感染的终端IP。

进一步地，根据定位得到的感染终端的IP，从系统IP地址划分表中查找相应的地址信息。

进一步地，所述告警包括：产生包括请求的恶意域名、最后请求时间、请求次数、感染终端的IP、感染终端所属单位部门及使用人信息在内的告警信息。