[发明专利]一种面向威胁检测的DNS日志统计特征抽取方法

权利要求书

1.一种面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述方法包括：

对DNS日志数据中若干特征字段的联合取值执行分组聚合统计，形成多级特征数据，得到DNS日志统计特征。

2.根据权利要求1所述的面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述DNS日志数据包括DNS日志和对DNS日志进行分组聚合统计后得到的中间结果数据。

3.根据权利要求1所述的面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述DNS日志记录中的特征字段包括方向、请求类型、响应类型、客户端IP、DNS服务器IP、TTL时间、被请求域名、被请求域名的主域名、包长、应答值、附加应答值。

4.根据权利要求1所述的面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述分组聚合统计过程如下：

将DNS日志数据视作一组记录的集合，记作R＝{r_i},i＝1,2,…,|R|，其中，每条记录包含若干特征字段，记作r_i＝(c_i1,c_i2,...,c_ik)，在{1,2,…,k}中选择一个子集G作为分组元组，剩余下标集合A＝{1,2,…,k}-G构成聚合运算元组，R_G是R在G上的投影，{R_G}是可出现的所有分组组合值，选择f个特征算子Ψ＝(ψ₁,…,ψ_f)，对于ψ_i(g)＝ψ_i({r_A|r_G＝g})形成了一个聚合值，作为下一级记录集合的某一记录的第i字段，如此执行分组聚合则得到下一级聚合特征数据集合R′←{(ψ₁(g),ψ₂(g),…,ψ_f(g))|g∈R_G}。

5.根据权利要求4所述的面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述特征算子包括记录数、条件记录数、某字段的统计值、某字段的条件统计值。

6.根据权利要求1所述的面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述多级特征数据包括五级特征数据。

7.根据权利要求6所述的面向威胁检测的DNS日志统计特征抽取方法，其特征在于，所述五级特征数据抽取方法如下：

一级分组聚合；以各个采集源的DNS日志为基础，抽取部分实体作为分组实体，计算响应分组的若干聚合特征，得到“采集源-存储分区-请求IP-域名-服务IP”、“采集源-存储分区-域名-解析值”、“采集源-存储分区-时段-请求IP”一级分组聚合特征数据；

二级分组聚合；在一级分组聚合得到的分组聚合特征数据的基础上，再次分组聚合，得到“存储分区-请求IP-域名-服务IP”、“存储分区-域名-解析值”、“存储分区-时段-请求IP”二级分组聚合特征数据；

三级分组聚合；在二级分组聚合得到的分组聚合特征数据的基础上，再次分组聚合，得到“存储分区-域名”、“存储分区-服务IP”、“存储分区-请求IP”三级分组聚合特征数据；

四级分组聚合；在三级分组聚合得到的分组聚合特征数据的基础上，再次分组聚合，得到“域名-解析值”、“域名”四级分组聚合特征数据；

五级分组聚合；在四级分组聚合特征数据“域名”基础上提炼主域名实体的相关特征，得到“主域名”五级分组聚合特征数据。

8.一种计算机可读存储介质，其特征在于，所述计算机存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于执行如权利要求1-7任一项所述的方法。