[发明专利]一种面向威胁检测的DNS日志统计特征抽取方法

说明书

本发明公开了一种面向威胁检测的DNS日志统计特征抽取方法，该方法包括：对DNS日志数据中若干特征字段的联合取值执行分组聚合统计，形成多级特征数据，得到DNS日志统计特征。采用本发明的方法能够解决对大量DNS日志进行处理需要消耗大量计算资源，甚至面对海量的DNS日志数据，对其进行处理并发现安全威胁，进行威胁预警不可行的问题，对海量DNS日志数据层层切片方式逐步降低分析挖掘的资源开销，让整个威胁发现过程具有可行性。

技术领域

本发明属于计算机网络安全领域，具体涉及一种面向威胁检测的DNS日志统计特征抽取方法。

背景技术

威胁(threat)是指对资产或组织可能导致负面结果的一个事件的潜在源(《信息安全术语:GB/T25069-2010》)。例如，网络空间中的恶意域名、有害IP、恶意程序都是一类威胁实体。

威胁狩猎(threathunting)，也称威胁猎杀，就是在网络空间中发现和追踪安全威胁(securitythreat)的过程。也可称这一过程为威胁检测。被动流量日志(passivetraffic logs)是指网络中各种实体的行为记录，通常由日志采集设备(log collectors)通过对网络的被动观察而收集产生。这种观察过程通常不对网络状态产生影响。从所观察和记录到的行为类型看，被动流量日志包括DNS请求响应日志、流通联日志、HTTP请求日志及文件传输日志等。被动流量日志中蕴含着大量的威胁迹象(signs ofthreat)。可通过预先在网络主机或网络链路部署被动流量日志采集设施，解析和处理捕获的数据，从而产生被动流量采集日志。

基于被动流量日志可以执行各类数据分析挖掘过程，识别和发现网络中可疑的威胁迹象，形成威胁预警(threat alerts)。此时尚不能确认可疑的威胁迹象源自真正的威胁。威胁预警经专家诊断或同外部威胁情报核验后，可部分地确诊为真正的安全威胁。安全威胁的活动如产生了负面结果，则构成了安全事件(security incident)。以上对于安全威胁进行捕捉和确认的工作构成一类威胁狩猎过程。在确认安全威胁和安全事件的基础上，受害组织机构、网络运营商、安全企业或监管部门对安全事件进行响应，对安全威胁执行消除。

对大量DNS日志进行处理需要消耗大量计算资源，甚至面对海量的DNS日志数据，对其进行处理并发现安全威胁，进行威胁预警变得不可行，因此需要提供一种面向威胁检测的DNS日志统计特征抽取方法，以层层切片方式逐步降低分析挖掘的资源开销，让整个威胁发现过程具有可行性。

发明内容

本发明的目的在于，提供一种面向威胁检测的DNS日志统计特征抽取方法，以便能够发现网络中的安全威胁，并且能够解决威胁发现活动常受制于数据量过载和资源不足的问题。

为解决上述技术问题，本发明提供种面向威胁检测的DNS日志统计特征抽取方法，所述方法包括：

对DNS日志数据中若干特征字段的联合取值执行分组聚合统计，形成多级特征数据，得到DNS日志统计特征。

所述DNS日志数据包括DNS日志和对DNS日志进行分组聚合统计后得到的中间结果数据。

所述DNS日志记录中的特征字段包括方向、请求类型、响应类型、客户端IP、DNS服务器IP、TTL时间、被请求域名、被请求域名的主域名、包长、应答值、附加应答值。