[发明专利]DNS隧道检测方法、装置及计算机可读存储介质

权利要求书

1.一种DNS隧道检测方法，其特征在于，所述方法包括：

获取所采集的流量数据，所述流量数据是根据终端对局域网中DNS服务器发起的DNS查询行为生成的；

从所述流量数据中提取得到特征向量；

基于DNS隧道检测模型提供的正常流量矩阵，通过所述DNS隧道检测模型计算所述特征向量与所述正常流量矩阵之间的马氏距离，所述DNS隧道检测模型是按照设定的时间间隔以所述DNS服务器的最新的历史流量数据作为训练样本进行模型训练生成的，所述DNS隧道检测模型提供的正常流量矩阵是基于作为所述DNS隧道检测模型的训练样本的最新的历史流量数据构建得到的；其中，所述DNS隧道检测模型是通过如下过程得到的：获取所述DNS服务器最新的历史流量数据作为训练样本，构建所述正常流量矩阵；构建基础模型，对所述正常流量矩阵进行奇异值分解，获得对应于所述正常流量矩阵的分解矩阵；对所述分解矩阵进行压缩，得到压缩矩阵，作为所述基础模型的参数；如果所述基础模型的参数使所述基础模型对应的损失函数收敛，则由所述基础模型收敛得到所述DNS隧道检测模型；

根据所述马氏距离对所述流量数据进行DNS隧道异常识别，其中，所述根据所述马氏距离对所述流量数据进行DNS隧道异常识别，包括：结合根据马氏距离所映射的分数和对马氏距离进行异常检测结果，对于分数超过设定分数且马氏距离为异常马氏距离的流量数据，进行DNS隧道告警。

2.如权利要求1所述的方法，其特征在于，所述获取所述DNS服务器的最新的历史流量数据作为训练样本，构建所述正常流量矩阵，包括：

基于DNS隧道的特点，从每一所述训练样本中提取得到对应的DNS隧道特征；

由从每一训练样本所提取的DNS隧道特征，生成所述训练样本的特征向量；

以每一训练样本的特征向量为行向量，构建得到样本流量矩阵；

对所述样本流量矩阵进行去噪处理，获得所述正常流量矩阵。

3.如权利要求2所述的方法，其特征在于，所述对所述样本流量矩阵进行去噪处理，获得所述正常流量矩阵，包括：

通过Robust PCA算法对所述样本流量矩阵进行矩阵分解，得到低秩矩阵和稀疏矩阵；

对所述稀疏矩阵中的行向量进行求和运算，将运算结果作为所述行向量所对应训练样本的误差；

根据对应误差小于设定误差的行向量，构建得到所述正常流量矩阵。

4.如权利要求1所述的方法，其特征在于，所述根据所述正常流量矩阵对基础模型进行模型训练，得到所述DNS隧道检测模型，还包括：

对所述正常流量矩阵进行归一化处理，使所述奇异值分解基于归一化处理后的正常流量矩阵。

5.如权利要求1至4任一项所述的方法，其特征在于，所述从所述流量数据中提取得到特征向量，包括：

基于DNS隧道的特点，从所述流量数据中提取出若干DNS隧道特征；

由若干DNS隧道特征生成所述流量数据的特征向量。

6.如权利要求1至4任一项所述的方法，其特征在于，所述基于DNS隧道检测模型提供的正常流量矩阵，计算所述特征向量与所述正常流量矩阵之间的马氏距离，包括：

基于所述DNS隧道检测模型，根据公式计算所述特征向量与所述正常流量矩阵的马氏距离；

其中，m为所述特征向量与所述正常流量矩阵的马氏距离；

y＝V_r^T(x-μ)，x为所述特征向量；μ为所述特征向量中DNS隧道特征的均值所构成的均值向量；V_r为矩阵V的前r列矩阵，S_r为由对角矩阵S的前r项对角线元素所构成的对角矩阵，矩阵V和矩阵S是对所述正常流量矩阵进行奇异值分解得到的分解矩阵，矩阵V_r和S_r是对矩阵V和对角矩阵S进行压缩得到的矩阵。