[发明专利]一种DNS隧道流量检测方法、装置、电子设备和存储介质

权利要求书

1.一种DNS隧道流量检测方法，其特征在于，所述方法包括：

根据第一预设时间段内存储的、每个主机的IP地址对应的域名请求信息，确定各一级域名的序列集，其中，所述序列集中包含有多个与所述一级域名相关联的序列；

根据各一级域名的序列集进行训练，生成检测模型；

每间隔第二预设时间段，更新各一级域名下的待检测序列集，得到各一级域名下的更新后的待检测序列集；

将各一级域名下的更新后的待检测序列集输入至所述检测模型中检测当前主机的IP地址是否发起DNS隧道请求，得到并输出检测结果。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据每个主机的IP地址对应的域名请求信息解析出对应的各一级域名，并基于各一级域名确定对应的各一级域名的子域名序列。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取任意一个一级域名下的更新后的待检测序列集中的任意一个待检测序列对应的时间戳信息；

根据所述时间戳信息和所述第二预设时间段，判断所述待检测序列对应的时间点是否在所述第二预设时间段内，若是，则将所述待检测序列从对应的待检测序列集中删除。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

基于每个主机的IP地址对应的域名请求信息，分别提取每个主机IP对应的同一级域名下的多个序列。

5.根据权利要求4所述的方法，其特征在于，各一级域名的序列集中的序列包括子域名序列、时间戳序列和由TTL值构成的TTL序列，所述基于每个主机的IP地址对应的域名请求信息，分别提取每个主机IP对应的同一级域名下的多个序列包括：

针对一个一级域名，从每个主机IP的域名请求信息中分别提取对应的子域名序列、对应的时间戳序列和对应的TTL序列；

遍历每一个主机的IP地址下的每一个一级域名，从每个主机的IP地址对应的域名请求信息中分别提取对应的子域名序列、对应的时间戳序列和对应的TTL序列。

6.一种DNS隧道流量检测装置，其特征在于，所述装置包括：

序列集确定模块，用于根据第一预设时间段内存储的、每个主机的IP地址对应的域名请求信息，确定各一级域名的序列集，其中，所述序列集中包含有多个与所述一级域名相关联的序列；

训练模块，用于根据所述序列集确定模块确定的各一级域名的序列集进行训练，生成检测模型；

更新模块，用于每间隔第二预设时间段，更新各一级域名下的待检测序列集，得到各一级域名下的更新后的待检测序列集；

检测模块，用于将更新模块得到的各一级域名下的更新后的待检测序列集输入至所述检测模型中检测当前主机的IP地址是否发起DNS隧道请求，得到并检测结果；

输出模块，用于输出所述检测模块得到的所述检测结果。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

解析模块，用于根据每个主机的IP地址对应的域名请求信息解析出对应的各一级域名；

子域名序列确定模块，用于基于所述解析模块解析出的各一级域名确定对应的各一级域名的子域名序列。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

获取模块，用于获取任意一个一级域名下的更新后的待检测序列集中的任意一个待检测序列对应的时间戳信息；

判断模块，用于根据所述获取模块获取的所述时间戳信息和所述第二预设时间段，判断所述待检测序列对应的时间点是否在所述第二预设时间段内，若是，则将所述待检测序列从对应的待检测序列集中删除。

9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器运行所述计算机程序以实现如权利要求1-5任一项所述的流量检测方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行实现如权利要求1-5中任一项所述的流量检测方法。