[发明专利]一种DNS隐蔽隧道检测方法及系统

权利要求书

1.一种DNS隐蔽隧道检测方法，其特征在于，包括以下步骤：

接收镜像流量服务器在网络环境中采集到的原始流量包；原始流量包中包括多条DNS请求类型的数据流量报文；

对所述原始流量包进行预处理，得到原始流量包中的子域名集合；

分别对子域名集合中每一级子域名进行筛选，得到可疑子域名，将所述可疑子域名保存至第一全局字典中；

当完成所述子域名集合中所有子域名的筛选后，根据得到的所述第一全局字典检测是否存在DNS隐蔽隧道异常；

所述分别对子域名集合中每一级子域名进行筛选，得到可疑子域名具体包括：

当子域名的长度小于等于预设的域名长度阈值，过滤该子域名；

当子域名的长度大于所述域名长度阈值、且该子域名存在于预设的常用域名集合中时，过滤该子域名；

当子域名的长度大于所述域名长度阈值、该子域名不存在于预设的常用域名集合中、且该子域名包含预设的常用词集合中的元素时，过滤该子域名；

将过滤后剩余的子域名定义为所述可疑子域名。

2.根据权利要求1所述DNS隐蔽隧道检测方法，其特征在于，所述对所述原始流量包进行预处理，得到原始流量包中的子域名集合具体包括：

根据类型对所述原始流量包中数据流量报文进行筛选，筛选出类型为DNS请求类型的数据流量报文；

分别提取筛选后得到的每个数据流量报文中源IP、域名以及请求时间，作为一个三元组数据；

对所有三元组数据中的域名进行分割，得到所述子域名集合。

3.根据权利要求2所述DNS隐蔽隧道检测方法，其特征在于，

所述第一全局字典用于记录同一个源IP下各子域名被访问的访问频率。

4.根据权利要求3所述DNS隐蔽隧道检测方法，其特征在于，所述根据得到的所述第一全局字典检测是否存在DNS隐蔽隧道异常具体包括：

定义所述第一全局字典中同一个源IP下访问频率为1的子域名为可疑载荷数据域名；

当同一个源IP下可疑载荷数据域名的字符长度总和大于预设的长度总和阈值时，认为该源IP存在DNS隐蔽隧道异常。

5.根据权利要求4所述DNS隐蔽隧道检测方法，其特征在于，该方法在所述根据得到的所述第一全局字典检测是否存在DNS隐蔽隧道异常之后，还包括：

将DNS隐蔽隧道异常的数据按照请求时间的先后数据关联对应的原始流量包。

6.根据权利要求2所述DNS隐蔽隧道检测方法，其特征在于，该方法在将所述可疑子域名保存至第一全局字典之后，还包括：

设置第二全局字典，用于记录同一个子域名被不同源IP访问的IP值，构成IP集；

当监测到第二全局字典中存在IP集中源IP的数量大于预设的IP数量阈值时，将该IP集对应的子域名更新至常用域名集合中。

7.一种DNS隐蔽隧道检测系统，其特征在于，包括：

镜像流量服务器：用于在网络环境中采集原始流量包，并将采集到的原始流量包发送给检测设备；

检测设备：用于接收所述原始流量包，原始流量包中包括多条DNS请求类型的数据流量报文；对所述原始流量包进行预处理，得到原始流量包中的子域名集合；分别对子域名集合中每一级子域名进行筛选，得到可疑子域名，将所述可疑子域名保存至第一全局字典中；当完成所述子域名集合中所有子域名的筛选后，根据得到的所述第一全局字典检测是否存在DNS隐蔽隧道异常；

所述检测设备具体用于：

当子域名的长度小于等于预设的域名长度阈值，过滤该子域名；

当子域名的长度大于所述域名长度阈值、且该子域名存在于预设的常用域名集合中时，过滤该子域名；

当子域名的长度大于所述域名长度阈值、该子域名不存在于预设的常用域名集合中、且该子域名包含预设的常用词集合中的元素时，过滤该子域名；

将过滤后剩余的子域名定义为所述可疑子域名。