[发明专利]命令与控制信道的检测方法、装置和系统

说明书

本发明公开了一种命令与控制信道的检测方法、装置和系统。其中，该方法包括：获取待检测对象的第一请求序列，其中，第一请求序列中包括多个域名解析请求；变更第一请求序列中多个域名解析请求的发送顺序，得到第二请求序列；发送第二请求序列至目标服务器，并接收目标服务器根据第二请求序列返回的第一响应序列；根据第一响应序列得到待检测对象的第一检测结果，其中，第一检测结果用于表征待检测对象是否使用命令与控制信道。本发明解决了现有技术中命令与控制信道的检测效率低的技术问题。

技术领域

本发明涉及互联网安全领域，具体而言，涉及一种命令与控制信道的检测方法、装置和系统。

背景技术

恶意软件(Malware)是指通过特定的程序来控制另一台计算机。黑客可以利用恶意软件远程操控该计算机，任意毁坏或窃取主机上的文件和用户密码。受控主机就是被黑客攻破，种植了恶意软件的电脑。恶意软件通常通过连接CC服务器来获得命令，受控主机与CC服务器之间的连接及其使用的协议，成为恶意软件的控制信道，简称C2通道(CommandControl Channel)。DNS(全称为：Domain Name System)是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库。域名是由圆点分开一串单词或缩写组成的，每一个域名都对应一个唯一的IP地址，在Internet上域名与IP地址之间是一一对应的，DNS就是进行域名解析的服务。

2017年Talos实验室发现并分析了一类新的恶意软件，使用DNS协议在恶意软件和CC服务器之间进行双向通信。为实现DNS偷渡，黑客会首先搭建DNS服务器，并注册大量域名，如malinfo.net，并将*.malinfo.net的解析都指向该DNS服务器，假设为Mal-DNS。这样，互联网中任意位置的主机，在查询malinfo.net及其子域名的时候，都会将请求发送到Mal-DNS服务器，使Mal-DNS成为进行CC控制的公共通信节点。CC服务器可以使用Mal-DNS来与受控主机通信，使用DNS协议传输C2控制信息，这种方式称为DNS偷渡。

由于DNS协议的分布式递归查询的特性，主机发出的DNS请求，一般都是经过LDNS(Local DNS)服务器转发给上层服务结点，这样在内网或者边界，安全设备无法感知到Mal-DNS的存在，所以也无法根据连接目标来进行C2的检测。

为了解决上述问题，传统的安全产品(如IDS)是目前常用的检测C2通道的方式，IDS对恶意软件控制信道的识别，主要使用两种方法：一种是基于已知知识的签名技术。它们手工分析已知恶意软件的静态特征和网络特征，提取字端或字段哈希值作为签名，对网络连接中传输的信息进行匹配识别；另一种是采用威胁情报来识别连接目标为已知CC服务器。由于主机只和LDNS通信，所以无法根据连接目标IP来检测。一种可行的方法是根据查询的域名来检测，通过分析恶意软件在DNS中查询的域名，制作威胁情报，并进行检测。

但是，由于DNS偷渡的C2信道，使用标准DNS协议来查询记录，其控制信息隐藏于域名和TXT等记录中，其内容非常便于混淆和隐藏，签名匹配方式基本无效。而且，域名和IP不同，由于域名的无限性，黑客非常容易去淘汰已经暴露的域名，保持通道的有效性。

针对现有技术中命令与控制信道的检测效率低的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种命令与控制信道的检测方法、装置和系统，以至少解决现有技术中命令与控制信道的检测效率低的技术问题。

根据本发明实施例的一个方面，提供了一种命令与控制信道的检测方法，包括：获取待检测对象的第一请求序列，其中，第一请求序列中包括多个域名解析请求；变更第一请求序列中多个域名解析请求的发送顺序，得到第二请求序列；发送第二请求序列至目标服务器，并接收目标服务器根据第二请求序列返回的第一响应序列；根据第一响应序列得到待检测对象的第一检测结果，其中，第一检测结果用于表征待检测对象是否使用命令与控制信道。