[发明专利]针对利用域前置技术实现恶意攻击的检测方法及系统

说明书

本发明提出一种针对利用域前置技术实现恶意攻击的检测方法及系统，所述方法通过设置终端TLS协议数据报文过滤条件，对数据流进行监控，获得进程PID信息和SNI信息；利用钩子程序对特定进程的流量进行监控，并提取构造的HTTP报文数据的HOST消息，将HOST字段与SNI字段比较，如果返回值为真，则恢复所述进程，否则阻断该进程并发出告警信息。本发明还给出对应系统。通过本发明的技术方案可以提供在终端的检测，避免由于使用HTTPS加密数据而难以检测恶意流量信息。

技术领域

本发明涉及计算机网络安全领域，特别涉及一种针对利用域前置技术实现恶意攻击的检测方法及系统。

背景技术

随着APT攻击已经是网络空间的常态存在，而其未来增量部分将主要来自两个因素：一是针对新兴的关键信息基础设施和传统基础设施的信息化；二是由于攻击面不断扩大、攻击成本不断下降而导致的入场门槛降低。与此同时，对APT攻击的检测、追溯、曝光和全网止损也同样成为常态化的反制动作。

域前置(Domain Fronting)技术，其特点在于，真正访问的域名并不是看到的域名，即可以隐藏攻击者的真实地址，并且此技术能够让我们在一些受限制的网络中依然连接到我们的CC服务器，其关键思想是在不同的通信层使用不同的域名，在HTTPS请求中，目标域名通常显示在三个关键位置：DNS查询，TLS(SNI)拓展及HTTP HOST主机头中，通常，这三个地方都会是我们要访问的域名地址，然而，在请求domain fronting中，DNS查询以及SNI携带了一个域名(前域)，而在HTTP HOST头中携带了另一个域名(隐蔽的，被禁止访问的域名)。

目前代理规避存在的主要检测手段包括根据内容阻断(深度包检测技术DPI)，根据IP地址阻断，活动探针三种策略。而对于利用domain fronting技术传输的加密报文如HTTPS时，通常检查器不能阻止DNS及SNI中正常请求的内容，并且HOST字段内容已被加密因而对检查器不可见，但接收HTTPS请求的前端服务器可见。许多流行云服务和CDN，如Google，Amazon Cloudfront，Amazon S3，Azure，CloudFlare，Fastly和Akamai等高信誉域名可以被黑客利用作为CC地址隐藏恶意活动踪迹。

发明内容

针对上述问题，本发明提出了一种针对利用域前置技术实现恶意攻击的检测方法及系统，通过在加密通信协议TLS握手阶段结束，生成用于加密流量数据的会话密钥时，利用HOOK钩子记录进程信息和SNI信息，HOOK钩子拦截进程构造的数据报文，获取报文中HOST字段数据并与SNI比较，来判断是否为采用了域前置技术的恶意攻击。

首先，本发明通过一种针对利用域前置技术实现恶意攻击的检测方法实现，所述方法包括：

S101，设置终端安全传输层协议数据报文过滤条件，对安全传输层协议握手阶段数据流进行监控，捕获符合过滤条件的报文；

S102，分析捕获的报文，并记录进程PID信息和SNI字段信息；

S103，设置所述进程构造数据报文函数的HOOK钩子，监控所述进程的HTTP流量；

S104，提取所述进程构造的HTTP报文的HOST字段数据；

S105，将所述HOST字段数据与SNI字段信息比较，如果HOST字段和SNI字段同为域名或IP地址，则执行步骤S106；如果HOST字段为域名，SNI字段为IP地址，或HOST字段为IP地址，SNI字段为域名，则执行步骤S107；

S106，将HOST字段数据与SNI字段信息直接进行字符串匹配，如果匹配成功，则结果为真，否则结果为假；

S107，向HOST字段或SNI字段的域名发起DNS请求，将请求结果与HOST字段或SNI字段的IP地址匹配，如果匹配成功，则结果为真，否则结果为假；