[发明专利]一种基于元数据分析的DNS防护及防数据泄露的方法

权利要求书

1.一种基于元数据分析的DNS防护及防数据泄露的方法，其特征在于，其包括如下步骤：

S1：捕获全量DNS数据；

S2：对所述步骤S1捕获的全量DNS数据进行区分并标识数据流方向；

S3：将经过所述步骤S2处理后的全量DNS数据与标准DNS协议进行匹配；

将不符合所述标准DNS协议格式的数据归类存储，提取并存储其五元组信息DB1；

将符合所述标准DNS协议格式的数据按照元数据中的transaction ID字段与QR字段进行匹配，按照配对情况分类提取并存储其五元组信息且存储原始数据；

S4：将所述步骤S3中配对情况分为不符合所述标准DNS协议格式的数据的五元组信息DB1、有请求有响应的数据DB2、有请求无响应的数据DB3 和无请求无响应的数据DB4四种类型的数据；

S5：按照外网IP属性将所述步骤S4中四种数据类型的元数据进行拆分，产生不符合所述标准DNS协议格式的数据的五元组信息DB1_境内、不符合所述标准DNS协议格式的数据的五元组信息DB1_境外、有请求有响应的数据DB2_境内、有请求有响应的数据DB2_境外、有请求无响应的数据DB3_境内、有请求无响应的数据DB3_境外、无请求无响应的数据DB4_境内和无请求无响应的数据DB4_境外8个子数据库；

S6：对所述步骤S5中8个子数据库中数据进行分析，定义非法恶意DNS行为，从而对DNS进行 防护及防止数据泄露；

在所述步骤S6中，对8个子数据库中数据进行分析，定义非法恶意DNS行为包括：

对不符合所述标准DNS协议格式的数据的五元组信息DB1_境外的五元组统计信息进行排序，定义非法跨境数据传输；

对不符合所述标准DNS协议格式的数据的五元组信息DB1_境内的五元组统计信息进行排序，定义非法数据传输；

对有请求有响应的数据DB2的五元组统计信息进行排序，结合元数据TYPE是否等于any定义来自外网的DNS放大攻击；

将有请求无响应的数据DB3和无请求无响应的数据DB4按照元数据Qname与TTL进行统计筛查，定义内外网僵尸主机；

将有请求无响应的数据DB3和无请求无响应的数据DB4按照元数据Qname字段统计排序，定义域名攻击；

将有请求无响应的数据DB3和无请求无响应的数据DB4的外网IP与不符合所述标准DNS协议格式的数据的五元组信息DB1的外网IP进行IP归属地和属主进行匹配；然后将有请求无响应的数据DB3和无请求无响应的数据DB4的外网IP与不符合所述标准DNS协议格式的数据的五元组信息DB1的外网IP进行IP所涉AS域进行匹配；最后对匹配结果进行逆向扫描，定义隐蔽通道。

2.根据权利要求1所述的一种基于元数据分析的DNS防护及防数据泄露的方法，其特征在于，在所述步骤S2中，对全量DNS数据进行区分方式为：通过自定义标签或者数据报文中的mac地址来区分判断。