[发明专利]DNS服务器异常检测的方法及装置

权利要求书

1.一种DNS服务器异常检测的方法，其特征在于，包括：

获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；

根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常。

2.根据权利要求1所述的DNS服务器异常检测的方法，其特征在于，所述根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常包括：

当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常并发出报警信息。

3.根据权利要求1所述的DNS服务器异常检测方法，其特征在于，获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率包括：

在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；

将访问频率与公式exp[age1·ln(0.5)/halflife2]相乘，并将最终结果加1后更新为访问频率；

其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期。

4.根据权利要求3所述的DNS服务器异常检测的方法，其特征在于，在所述获取访问DNS服务器的各检测参数和各检测参数的访问频率之后还包括：

根据所述访问频率对所述检测参数进行分组处理。

5.根据权利要求4所述的DNS服务器异常检测的方法，其特征在于，根据所述访问频率对所述检测参数进行分组处理包括:

将所述访问频率最高的检测参数划分为第一组；

将所述访问频率位于第2位至第5位的检测参数划分为第二组；

将所述访问频率位于第6位至21位的检测参数划分为第三组；

将所述访问频率位于第22位至第227位的检测参数划分为第四组；

将剩余的检测参数划分为第五组。

6.根据权利要求4或5所述的DNS服务器异常检测的方法，其特征在于，所述根据所述访问时间和所述访问频率获取卡方统计值包括：

根据所述各所述访问频率获取各组的访问频率总和；

根据所述各组的访问频率总和以及所述上一预设时间段内各组的已知期望值获取本预设时间段内各组的期望值；

根据所述各组的期望值和所述各组访问频率总和获取所述卡方统计值。

7.根据权利要求6所述的DNS服务器异常检测的方法，其特征在于，根据所述各所述访问频率获取各组的访问频率总和包括:

将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；

根据所述各组的访问频率总和以及上一预设时间段内各组的已知期望值获取本预设时间段内各组的期望值包括：

根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据所述各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且所述第二半衰期大于所述第一半衰期，所述age2为预设时间段；

所述根据所述各组的期望值和所述各组访问频率总和获取所述卡方统计值包括：

根据公式获取所述卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

8.一种DNS服务器异常检测的装置，其特征在于，包括：

获取模块，用于获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；

统计模块，用于根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常。

9.根据权利要求8所述的DNS服务器异常检测的装置，其特征在于，所述统计模块包括：

获取卡方统计值子模块，用于根据各所述访问时间和所述访问频率获取卡方统计值；

判断子模块，用于当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常。

10.根据权利要求8或9所述的DNS服务器异常检测的装置，其特征在于，还包括：

分组模块，用于根据所述访问频率对所述检测参数进行分组处理；

所述获取模块包括：

获取访问频率子模块，用于在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；

更新子模块，用于将访问频率与公式exp[age1·ln(0.5)/halflife2]相乘，并将最终结果加1后更新为访问频率，其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期；

所述获取卡方统计值子模块包括：

获取总和子单元，用于将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；

获取期望值子单元，用于根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据所述各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且所述第二半衰期大于所述第一半衰期，所述age2为预设时间段；

计算卡方统计值子单元，用于根据公式获取所述卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。