[发明专利]异常检测方法和装置

权利要求书

1.一种异常检测方法，其特征在于，所述方法包括：

获取域名系统DNS流量，所述DNS流量包括至少一个DNS数据包；

对所述DNS流量进行检测，在确定存在可疑的DNS数据包时，确定所述可疑的DNS数据包的记录类型；

根据所述记录类型，确定所述可疑的DNS数据包是否异常；

其中，所述根据所述记录类型，确定所述可疑的DNS数据包是否异常，包括：

在所述记录类型为目标记录类型时，确定在目标时间区间内，目标IP地址是否被访问，其中，所述目标IP地址是根据所述可疑的DNS数据包确定的，所述目标记录类型包括A类型或AAAA类型；

若在所述目标时间区间内，所述目标IP地址未被访问，则确定所述可疑的DNS数据包的检测结果为异常；

在所述记录类型不属于所述目标记录类型时，确定所述可疑的DNS数据包的检测结果为异常。

2.根据权利要求1所述的方法，其特征在于，所述根据所述记录类型，确定所述可疑的DNS数据包是否异常，还包括：

若在所述目标时间区间内，所述目标IP地址被访问，则确定所述可疑的DNS数据包的检测结果为正常。

3.根据权利要求1所述的方法，其特征在于，所述对所述DNS流量进行检测，包括：

对所述DNS流量中的至少一个DNS数据包进行特征提取，得到域名特征；

确定所述域名特征的特征向量；

根据所述特征向量以及训练好的检测模型，确定是否存在可疑的DNS数据包。

4.根据权利要求3所述的方法，其特征在于，其中，所述域名特征包括单域名特征以及多域名特征中至少之一，所述单域名特征是根据单个域名提取的特征，所述多域名特征是根据多个域名之间的关联信息确定的特征。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

去除所述DNS流量中域名位于白名单上的DNS数据包，得到目标DNS流量；

其中，所述对所述DNS流量进行检测，包括：

对所述目标DNS流量进行检测。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在确定所述可疑的DNS数据包为异常时，发送告警信息。

7.一种异常检测装置，其特征在于，所述装置包括：

获取模块，用于获取域名系统DNS流量，所述DNS流量包括至少一个DNS数据包；

检测模块，用于对所述DNS流量进行检测，在确定存在可疑的DNS数据包时，确定所述可疑的DNS数据包的记录类型；

第一确定模块，用于根据所述记录类型，确定所述可疑的DNS数据包是否异常；

其中，所述第一确定模块包括：

第一确定子模块，用于在所述记录类型为目标记录类型时，确定在目标时间区间内，目标IP地址是否被访问，其中，所述目标IP地址是根据所述可疑的DNS数据包确定的，所述目标记录类型包括A类型或AAAA类型；

第二确定子模块，用于若在所述目标时间区间内，所述目标IP地址未被访问，则确定所述可疑的DNS数据包的检测结果为异常；

第四确定子模块，用于在所述记录类型不属于所述目标记录类型时，确定所述可疑的DNS数据包的检测结果为异常。