[发明专利]一种基于时间域的DNS隐蔽信道的检测方法及网关设备

权利要求书

1.一种基于时间域的DNS隐蔽信道的检测方法，其特征在于，包括：

解析收到的DNS请求报文以及相应的应答报文，明确目标DNS客户端主机在预先建立的IP主机索引树中对应的IP主机节点；

以设定的时间周期分别统计所述目标DNS客户端主机对应的报文中表征DNS请求流量的多种记录类型，作为所述目标DNS客户端主机的协议流量评价特征参数；

将所述目标DNS客户端主机的协议流量评价特征参数输入预先构建的评价函数，所述评价函数采用预先学习得到的DNS请求流量峰值基线进行比对，若偏离所述DNS请求流量峰值基线超出设定阈值，则将所述目标DNS客户端主机标记为异常主机。

2.根据权利要求1所述的基于时间域的DNS隐蔽信道的检测方法，其特征在于，所述IP主机索引树的叶节点存储有预先学习得到的DNS请求流量峰值基线；所述DNS请求流量峰值基线包括所述表征DNS请求流量的多种记录类型的统计信息。

3.根据权利要求2所述的基于时间域的DNS隐蔽信道的检测方法，其特征在于，所述表征DNS请求流量的多种记录类型的统计信息包括：

累计DNS请求数量、单个二级域的请求数量、A记录请求数量、AAAA记录请求数量、PTR记录请求数量、NS请求数量、SOA请求数量以及MX记录请求数量。

4.根据权利要求1所述的基于时间域的DNS隐蔽信道的检测方法，其特征在于，在确定异常主机后，还对异常主机按预先配置的策略进行处理。

5.根据权利要求4所述的基于时间域的DNS隐蔽信道的检测方法，其特征在于，所述预先配置的策略包括告警、阻断和流量牵引。

6.根据权利要求1所述的基于时间域的DNS隐蔽信道的检测方法，其特征在于，所述IP主机索引树将现有32位IP地址按8位分为一段进行索引，每一段是一个2⁸的数组。

7.一种网关设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述基于时间域的DNS隐蔽信道的检测方法的步骤。

8.一种递归服务器，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述基于时间域的DNS隐蔽信道的检测方法的步骤。