[发明专利]一种基于连接度估计的递归域名服务器在线识别方法

摘要

本发明公开了一种基于连接度估计的递归域名服务器在线识别方法。本方法为：1)对获取的设定时间段内的网络流量进行协议分析，得到一DNS流量数据集；2)对该DNS流量数据集中的DNS流量进行解析，获取DNS流量的属性信息；3)根据属性信息计算每个源IP的Src‑con值和Dom‑con值；Src‑con值为源IP连接度，即DNS流量中源IP地址对应不同目的IP地址的个数；Dom‑con值为域名连接度，即源IP地址对应不同域名的个数；4)如果同一源IP对应的Src‑con值高于源IP连接度阈值、Dom‑con值高于域名连接度阈值；则将该源IP对应的服务器作为递归域名服务器。本发明识别准确率高。

主权项

1.一种基于连接度估计的递归域名服务器在线识别方法，其步骤为：1)对获取的设定时间段内的网络流量进行协议分析，得到一DNS流量数据集；2)对该DNS流量数据集中的DNS流量进行解析，获取DNS流量的属性信息；其中，属性信息包括源IP、目的IP和域名；3)根据获取的属性信息计算每个源IP的Src‑con值和Dom‑con值；其中，Src‑con值为源IP连接度，即DNS流量中源IP地址对应不同目的IP地址的个数；Dom‑con值为域名连接度，即DNS流量中源IP地址对应不同域名的个数；4)如果同一源IP对应的Src‑con值高于源IP连接度阈值、Dom‑con值高于域名连接度阈值；则将该源IP对应的服务器作为递归域名服务器；其中，确定该源IP连接度阈值、域名连接度阈值的方法为：将每个源IP对应的Src‑con值进行累加得到一总Src‑con值，将每个源IP对应的Dom‑con值进行累加得到一总Dom‑con值；然后计算每个源IP对应的Src‑con值占总Src‑con值的比值、Dom‑con值占总Dom‑con值的比值；然后将得到的比值分别从大到小进行累计，当Src‑con值占总Src‑con值的比值累计值变化小于设定变化值h1时，将最后一个累计的源IP地址的Src‑con值作为源IP连接度阈值；当Dom‑con值占总Dom‑con值的比值累计值变化小于设定变化值h2时，将最后一个累计的源IP地址的Dom‑con值作为域名连接度阈值。