[发明专利]一种基于知识图谱的受控主机检测方法和装置

权利要求书

1.一种基于知识图谱的受控主机检测方法，其特征在于，包括如下步骤：

1）获取域名解析的DNS原始流量，解析域名响应的特征数据，对解析后的特征数据进行DNS应答状态过滤，获取DNS应答状态为NXDOMAIN的特征数据向量流，写入到消息队列的特征数据向量流Topic；

2）以预设的滑动时间窗口为检测周期对特征数据向量流进行统计，生成IP与域名列表映射以及域名与IP列表映射的邻接链表，同时，对邻接链表进行多阶段数据预处理，利用一种或多种异常检测算法进行过滤和标注，获取知识图谱构建输入数据集，写回消息队列的知识图谱数据向量流Topic；

3）针对知识图谱构建输入数据集，进行NXDOMAIN-IP知识图谱构建，并将知识图谱存储到图数据库；

具体包括如下步骤：

301）利用分布式数据流处理组件，从消息队列的知识图谱数据向量流Topic读取相应的数据向量流；

302）定义NXDOMAIN-IP知识图谱的实体和关系，并利用NXDOMAIN-IP知识图谱构建算法，构建NXDOMAIN-IP知识图谱；

NXDOMAIN-IP知识图谱的实体和关系定义如下，对于NXDOMAIN-IP知识图谱，定义为，表示实体集合，包括DNS流量中应答状态为NXDOMAIN的域名与客户端源IP；表示边集合，，边表示客户端与域名之间的请求关系，域名和客户端的特征为实体的特征向量，请求行为特征为关系的特征向量；

NXDOMAIN-IP知识图谱是利用应答状态为NXDOMAIN的DNS请求构建的，具体过程描述如下：

（1）获取应答状态为NXDOMAIN的DNS请求元数据；

（2）客户端发起了DNS查询域名，若实体和存在，则更新边的频率，否则，增加实体和，建立一条边；

（3）令为与域名和IP地址为客户端相关的DNS请求记录，其中，构建所有客户端IP地址与域名之间的边；

在知识图谱中，边直接表示域名和客户端IP地址之间的访问关系，故知识图谱是一个二分图，顶点集合能够被分成不相交的子集和，子集和为客户端集合和域名集合，而边表示连接两个顶点和的边，其中，；

303）将知识图谱存储到图数据库；

4）利用社区发现算法对NXDOMAIN-IP知识图谱进行分析，并生成多个具备个性的社区簇；

5）利用社区判定算法对各个社区簇进行性质判定，区分合法社区簇、恶意代码社区簇以及暂未判定社区簇；

6）对于恶意代码社区簇，获取其IP列表，标记这些IP为受控主机，并根据域名相关标注确定恶意代码家族信息，并写入数据库。

2.根据权利要求1所述的基于知识图谱的受控主机检测方法，其特征在于，所述步骤1）具体包括如下步骤：

101）利用协议解析引擎对DNS协议的响应流量进行处理，解析域名响应的特征数据；

102）对解析后的特征数据进行DNS应答状态过滤，获取DNS应答状态为NXDOMAIN的特征数据向量流；

103）对于特征数据向量流，若源IP字段命中网关类IP名单，则进行过滤，若目标域名命中域名白名单列表，则进行过滤；

104）利用采集器获取来自实时DNS流量的过滤后的特征数据向量流，写入到消息队列的特征数据向量流Topic。