[发明专利]域名系统隐蔽信道检测方法及装置

说明书

本发明公开了一种域名系统隐蔽信道检测方法及装置，获取待检测的域名系统流量；检测待检测的域名系统流量的子域名是否存在结构性特征，结构性特征表征利用域名系统数据泄露时域名采用的目标结构；如果存在结构性特征，分析待检测的域名系统流量的子域名是否存在随机性特征，随机性特征表征利用域名系统子域名进行数据泄露时编码字段的随机特性；如果是，生成域名系统异常的检测结果；若待检测的域名系统流量的子域名不存在结构性特征，或者子域名不存在随机性特征，生成域名系统正常的检测结果。本发明利用了域名系统数据泄露本身的攻击特征进行检测，提升了检测的精准性。

技术领域

本发明涉及域名检测技术领域，特别是涉及一种域名系统隐蔽信道检测方法及装置。

背景技术

域名系统(DNS，Domain Name System)是互联网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。使用域名系统实现数据泄露也存在于各个领域，域名系统泄密仍然是安全领域关注的热点。

目前，域名系统泄密检测的方法主要体现在使用检测特征、数据集、算法上的演变。其中，检测特征的提取为检测过程中重要的部分。而研究人员提取的特征分为基于单域名、多域名的特征，特征选取虽然基于了一般恶意域名的少数特征，但没有根据真实DNS隐蔽信道攻击本身进行分析提取特征，会导致误报率高，检测效果不佳。

发明内容

针对于上述问题，本发明提供一种域名系统隐蔽信道检测方法及装置，提升了域名系统隐蔽信道检测的精准性。

为了实现上述目的，本发明提供了如下技术方案：

一种域名系统隐蔽信道检测方法，包括：

获取待检测的域名系统流量；

检测所述待检测的域名系统流量的子域名是否存在结构性特征，所述结构性特征表征利用域名系统数据泄露时域名采用的目标结构；

如果存在结构性特征，检测所述待检测的域名系统流量的子域名是否存在随机性特征，所述随机性特征表征利用域名系统子域名进行数据泄露时编码字段的随机特性；

如果是，生成域名系统异常的检测结果；

若所述待检测的域名系统流量的子域名不存在结构性特征，或者所述子域名不存在随机性特征，生成所述域名系统正常的检测结果。

可选地，所述获取待检测的域名系统流量，包括：

获取域名系统流量；

对所述域名系统流量进行过滤，得到过滤后的流量；

对所述过滤后的流量进行截取，获得待检测的域名系统的流量。

可选地，所述检测所述待检测的域名系统流量的子域名是否存在结构性特征，包括：

对所述待检测的域名系统流量的子域名进行结构性检测，得到第一检测结果；

若所述第一检测结果满足第一目标条件，检测得到所述待检测的域名系统流量的子域名存在结构性特征，所述第一目标条件包括所述子域名具备公共子串和/或所述子域名具备递增子串。

可选地，所述检测所述待检测的域名系统流量的子域名是否存在随机性特征，包括：

检测所述待检测的域名系统流量的子域名中是否存在随机字串；

如果是，判定所述待检测的域名系统流量的子域名存在随机性特征。

可选地，所述对所述过滤后的流量进行截取，获得待检测的域名系统的流量，包括：

利用目标截取分析单元对所述过滤后的流量进行截取，获得待检测的域名系统的流量；