[发明专利]网络数据检测方法及相关设备

权利要求书

1.一种网络数据检测方法，其特征在于，包括：

获得通过机器学习算法构建的检测模型，其中，所述检测模型是对域名系统DNS查询请求样本训练得到的，所述域名系统DNS查询请求样本具有属性项，所述属性项为用于区分域名系统DNS查询请求是否异常的特征；

获得内部网络中向外发送的待检测的域名系统DNS查询请求；

确定所述待检测的域名系统DNS查询请求在所述属性项上的属性值，所述属性项包括DNS查询请求样本中包括的查询问题个数、DNS查询请求样本中待查询域名所包含的子域名的长度、DNS查询请求样本中待查询域名所包含的非法字符个数、数据包的长度以及查询域名中标签的个数；

将所述属性值输入至所述检测模型中，所述检测模型对所述属性值进行判断以根据所述属性值的判断结果确定所述待检测的域名系统DNS查询请求是否为异常的域名系统DNS查询请求，其中，所述检测模型的判断过程为：从根节点对待查询的域名系统DNS查询请求中的一个属性值进行判断，并根据判断结果为所述待查询的域名系统DNS查询请求选择对应的分支；若选择对应的分支上的下一个节点为叶子节点，则确定所述待查询的域名系统DNS查询请求的分类结果，若选择对应的分支的下一个节点为中间节点，则中间节点对待查询的域名系统DNS查询请求的其他属性项进行判断，并根据判断结果为待查询的域名系统DNS查询请求选择对应的分支 ，以此递归执行，直至达到分支的叶子节点从而得到最终的分类结果，所述分类结果表示所述待查询的域名系统DNS查询请求为正常还是异常。

2.根据权利要求1所述的网络数据检测方法，其特征在于，还包括：

验证所述检测模型对所述待检测的域名系统DNS查询请求的确定结果是否准确；

若所述检测模型的确定结果错误，则将所述待检测的域名系统DNS查询请求加入域名系统DNS查询请求样本，得到新的域名系统DNS查询请求样本，并使用所述新的域名系统DNS查询请求样本训练所述检测模型。

3.根据权利要求1所述的网络数据检测方法，其特征在于，待检测的域名系统DNS查询请求为一个时间切片内的多条待检测的域名系统DNS查询请求；

则所述确定所述待检测的域名系统DNS查询请求在所述属性项上的属性值，包括：

获得每条待检测的域名系统DNS查询请求在第一类型属性项上的属性值；和/或，

统计一个时间切片内，多条待检测的域名系统DNS查询请求在第二类型属性项上的属性值。

4.根据权利要求3所述网络数据检测方法，其特征在于，所述统计一个时间切片内，多条待检测的域名系统DNS查询请求在第二类型属性项上的属性值，包括：

根据每条待检测的域名系统DNS查询请求在第一类型属性项上的属性值，计算多条所述待检测的域名系统DNS查询请求在第一类型属性项上的统计属性值，其中统计属性值包括以下几项中的任意一项或多项：总和属性值、平均属性值、极值属性值；和/或

依据每条待检测的域名系统DNS查询请求，统计不同的待检测的域名系统DNS查询请求的个数。

5.根据权利要求3所述网络数据检测方法，其特征在于，所述域名系统DNS查询请求中包括查询域名；则：

所述第一类型属性项包括：域名系统DNS查询请求的数据包长度、查询域名的个数、查询域名中标签的个数、查询域名中子域名的长度、查询域名中非法字符的个数；

所述第二类型属性项包括：域名系统DNS查询请求的总个数、域名系统DNS查询请求的发送频率、数据包总长、数据包平均长度、非法字符总数、非法字符平均个数、标签个数最大值、标签个数最小值、标签总个数、标签平均个数、不同域名系统DNS查询请求的个数。

6.根据权利要求1所述的网络数据检测方法，其特征在于，所述检测模型的训练方式包括：

采集域名系统DNS查询请求样本，所述域名系统DNS查询请求样本中包含被标注为异常的域名系统DNS查询请求，以及被标注为正常的域名系统DNS查询请求；

确定所述域名系统DNS查询请求样本在所述属性项上的属性值；

通过机器学习算法，对所述域名系统DNS查询请求样本的属性值进行训练后得到检测模型。