[发明专利]一种基于被动DNS流量的递归域名服务器用户量估计方法

说明书

本发明提出一种基于被动DNS流量的递归域名服务器用户量估计方法，涉及网络测量技术领域，通过分析被动DNS流量，能够实现在经过NAT地址转换无法获取用户真实源IP地址，以及经过递归域名服务器RDNS缓存压缩后用户原始DNS请求包数量减少的真实网络场景下，估计使用该递归域名服务器的所有用户量范围。利用RDNS缓存压缩后的DNS请求包计算RDNS内部用户量下界。利用RDNS缓存压缩后的DNS请求包和响应包，把由该RDNS缓存压缩后的DNS请求包变成内部用户发起的模拟DNS请求包，然后利用生成的模拟DNS请求包计算RDNS内部用户量上界。通过本方法得到的估计用户量与真实用户量的偏差范围较小，效果优异。

技术领域

本发明涉及网络测量技术领域，具体为一种基于被动DNS流量的递归域名服务器用户量估计方法。

背景技术

当前测量递归域名服务器(Recursive Domain Name Servers,RDNS)用户量的方法，主要可以分为被动测量和主动测量两种方式：

被动测量主要是通过直接获取用户发往该RDNS的原始DNS请求包，从原始DNS请求包中生成基于DNS的指纹信息，并使用提取的指纹来将原始DNS请求包匹配到具体的单个用户，然后对每个用户进行识别和跟踪，最终计算用户量。而根据具体实现的算法类型可以分为监督学习算法和无监督学习算法。基于监督学习的方法[1,2]需要使用带有标记用户的大量DNS请求包来为每个用户生成指纹标记数据集，但在真实网络中，获取此类预先标记的数据集极具挑战性，从根本上限制了这类研究方法的实际应用效果。而基于无监督学习的方法[3-7]要么需要一开始预定义聚类的组类别个数[3]，即用户量，不太现实；要么需要用户真实源IP地址作为标识标签才能进行聚类[4-7]，对输入的DNS请求包要求较高。

主动测量主要是利用构建针对该RDNS的主动缓存探针来探测访问该RDNS的缓存行为策略，通过建立每个域名的缓存更新间隔时间差序列来表征RDNS内部的缓存情况，进一步计算用户发往该RDNS的原始DNS请求包中每个域名的请求时间差序列，最终计算用户量[9-12]。为了计算用户发往该RDNS的原始DNS请求包中每个域名的请求时间差序列，主动测量需要考虑到用户发往该RDNS的原始DNS请求包，其对应的DNS响应包构成了该RDNS的缓存，而该RDNS的缓存会对用户发往该RDNS的后续原始DNS请求包进行压缩，只有没有命中缓存的原始DNS请求包才能够由该RDNS发往其他权威域名服务器，命中了该RDNS缓存的原始DNS请求包，就直接由该RDNS缓存构建对应的DNS响应包返回给用户。同时，这些采用主动测量得到缓存更新间隔时间差序列的方法[9-12]，需要满足主动缓存探针与该RDNS的网络可达条件，并且由于主动缓存探针需要针对特定的域名发起请求，最终估计得到的数量并不是使用该RDNS的所有用户，仅仅是使用特定域名服务的用户量。

综上所述，已有方法均无法完全很好的解决，在经过NAT地址转换后无法获取用户真实源IP地址，以及经过该RDNS缓存压缩后用户原始DNS请求包数量减少的真实网络场景下，估计该RDNS所有用户量的问题。

参考文献：

[1]Dominik Herrmann,Christian Banse,and HannesFederrath.2013.Behaviorbased tracking:exploiting characteristic patterns inDNS traffic.ComputersSecurity 39(2013),17–33.