[发明专利]一种Domain Flux数据流的检测方法及装置

权利要求书

1.一种Domain Flux数据流的检测方法，其特征在于，包括：

从当前检测窗口内的数据流中提取DNS请求记录信息；

基于所述DNS请求记录信息，确定所述当前检测窗口中的数据流的流量特征统计数据；

基于当前检测窗口和历史检测窗口的流量特征统计数据，采用预设算法判断所述当前检测窗口中的数据流是否存在突发数据流，包括：基于历史的每个检测窗口内的每一个流量特征统计数据，并采用第一预设算法预测得到该流量特征统计数据对应的流量预测范围；针对所述当前检测窗口内每个流量特征统计数据，判断该流量特征统计数据是否在预测得到的该流量特征统计数据对应的流量预测范围；若所述当前检测窗口内各个流量特征统计数据均不在各个流量特征统计数据分别对应的流量预测范围内，则确认所述当前检测窗口内的数据流存在突发数据流；

若所述当前检测窗口中存在突发数据流，则确定所述当前检测窗口内的数据流中存在Domain Flux数据流。

2.根据权利要求1所述的方法，其特征在于，基于当前检测窗口和历史检测窗口的流量特征统计数据，采用预设算法判断所述当前检测窗口中的数据流是否存在突发数据流，包括：

对每个检测窗口内的流量特征统计数据分别进行加权处理，分别得到各个检测窗口内数据流的流量特征综合分值；

基于各个检测窗口得到的流量特征综合分值，采用第二预设算法确定正常数据流的流量特征综合分值范围；

对所述当前检测窗口内的流量特征统计数据进行加权处理，得到所述当前检测窗口的流量特征综合分值；

若所述当前检测窗口的流量特征综合分值不在所述正常数据流的流量特征综合分值范围内，则确认所述当前检测窗口内的数据流存在突发数据流。

3.根据权利要求1所述的方法，其特征在于，所述DNS请求记录信息包括以下至少一项：源IP地址、请求的域名、所请求的域名的响应IP地址、响应的生存时间和请求时间。

4.根据权利要求3所述的方法，其特征在于，所述流量特征统计数据包括以下至少一项：基于源IP地址所请求的不同的域名的数量、基于源IP地址所请求的域名中返回未找到所请求的域名对应的地址记录的不同的域名的数量。

5.一种Domain Flux数据流的检测装置，其特征在于，包括：

提取模块，用于从当前检测窗口内的数据流中提取DNS请求记录信息；

第一确定模块，用于基于所述DNS请求记录信息，确定所述当前检测窗口中的数据流的流量特征统计数据；

判断模块，用于基于当前检测窗口和历史检测窗口的流量特征统计数据，采用预设算法判断所述当前检测窗口中的数据流是否存在突发数据流，包括：基于历史的每个检测窗口内的每一个流量特征统计数据，并采用第一预设算法预测得到该流量特征统计数据对应的流量预测范围；针对所述当前检测窗口内每个流量特征统计数据，判断该流量特征统计数据是否在预测得到的该流量特征统计数据对应的流量预测范围；若所述当前检测窗口内各个流量特征统计数据均不在各个流量特征统计数据分别对应的流量预测范围内，则确认所述当前检测窗口内的数据流存在突发数据流；

第二确定模块，用于若所述判断模块的判断结果为所述当前检测窗口中存在突发数据流，则确定所述当前检测窗口内的数据流中存在Domain Flux数据流。

6.根据权利要求5所述的装置，其特征在于，

所述判断模块，还用于对每个检测窗口内的流量特征统计数据分别进行加权处理，分别得到各个检测窗口内数据流的流量特征综合分值；基于各个检测窗口得到的流量特征综合分值，采用第二预设算法确定正常数据流的流量特征综合分值范围；对所述当前检测窗口内的流量特征统计数据进行加权处理，得到所述当前检测窗口的流量特征综合分值；若所述当前检测窗口的流量特征综合分值不在所述正常数据流的流量特征综合分值范围内，则确认所述当前检测窗口内的数据流存在突发数据流。

7.一种网络设备，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的计算机程序，所述处理器被所述计算机程序促使执行权利要求1-4任一项所述的方法。

8.一种机器可读存储介质，其特征在于，所述机器可读存储介质存储有计算机程序，在被处理器调用和执行时，所述计算机程序促使所述处理器执行权利要求1-4任一项所述的方法。