[发明专利]一种基于元数据分析的DNS防护及防数据泄露的方法

说明书

本发明涉及一种基于元数据分析的DNS防护及防数据泄露的方法。所述方法首先将全量DNS数据的原始数据和元数据进行提取并科学分类的存储；然后通过针对DNS的元数据科学合理的分类，将海量的DNS数据划分成不同类别的子数据集，并通过系统自带的元数据扩展知识库(IP，AS属地属主等)，可简便快捷的定位查找DNS各类安全事件；同时通过各子数据集间的交叉验证，可将看似毫无关联的DNS数据行为，准确快速的定义为恶意数据行为，比如有掩护性的隐蔽数据传输或远程控制行为。通过本发明可对所部署网络环境中的DNS行为进行科学合理的监管与可视。对安全管理及政策实施提供高准确性的技术支撑。

技术领域

本发明涉及网络安全分析领域，具体地说是涉及一种基于元数据分析的DNS防护及防数据泄露的方法。

背景技术

当前主流的DNS安全技术，绝大部分面向类DDOS攻击行为、DNS投毒、DNS劫持欺骗等技术。

当前主流DNS安全技术通过实时分析DNS解析失败率、DNS响应报文与请求报文的比例关系等方法，来识别各种针对DNS的DDoS攻击并防御。通过DNS server属性及状态来简单定位是否存在劫持，通过时间戳判断是否DNS投毒等行为以上所述的DNS安全技术完全满足基于单包匹配或单一DNS恶意行为的分析需求。

但是在面向非法DNS数据传输方面，尤其是基于DNS远程指挥控制、恶意数据传输方面的安全分析已显得捉襟见肘。

发明内容

针对现有技术之不足，本发明提供了一种基于元数据分析的DNS防护及防数据泄露的方法。

本发明的基于元数据分析的DNS防护及防数据泄露的方法的具体技术方案如下：

一种基于元数据分析的DNS防护及防数据泄露的方法，其包括如下步骤：

S1：捕获全量DNS数据；

S2：对所述步骤S1捕获的全量DNS数据进行区分并标识数据流方向；

S3：将经过所述步骤S2处理后的全量DNS数据与标准DNS协议进行匹配；

将不符合所述标准DNS协议格式的数据归类存储，提取并存储其五元组信息DB1；

将符合所述标准DNS协议格式的数据按照元数据中的transaction ID字段与QR字段进行匹配，按照配对情况分类提取并存储其五元组信息且存储原始数据；

QR是标准DNS协议字段，为DNS元数据的一部分，数值为0表示为请求报文，数值为1表示为响应报文。

transaction ID是DNS传输ID，某时段内该ID值具有唯一性，用于对请求报文和响应报文进行配对。

原始数据是指所分类的原始数据，比如有请求无响应的数据DB3，不光提取该类型数据的五元组信息和元数据信息，同时也会存储该类型数据的原始数据。

S4：将所述步骤S3中配对情况分为有请求有响应的数据DB2、有请求无响应的数据DB3和无请求无响应的数据DB4四种类型的数据；

S5：按照外网IP属性将所述步骤S4中四种数据类型的元数据进行拆分，产生不符合所述标准DNS协议格式的数据的五元组信息DB1境内、不符合所述标准DNS协议格式的数据的五元组信息DB1_境外、有请求有响应的数据DB2_境内、有请求有响应的数据DB2_境外、有请求无响应的数据DB3_境内、有请求无响应的数据DB3_境外、无请求无响应的数据DB4_境内和无请求无响应的数据DB4_境外8个子数据库；

S6：对所述S5中8个子数据库中数据进行分析，定义非法恶意DNS行为，从而对DNS进行防护及防止数据泄露。