[发明专利]Fast-Flux僵尸网络检测方法、装置、设备及存储介质

说明书

本发明实施例公开了一种Fast‑Flux僵尸网络检测方法、装置、设备及存储介质。该方法包括获取目标检测域名，每隔监控时长，获取匹配的解析IP结果数据；将监控时长划分为多个时间单元，计算目标检测域名在每个目标时间单元内的静态统计指标集和动态统计指标集；在确定目标静态统计指标集不满足正常域名检测条件时，计算归一化静态统计指标集和归一化动态统计指标集；进而计算对应的拟合静态值和拟合动态值，并分别输入至预先训练的支持向量机SVM模型中，确定监控时长内目标检测域名为异常域名时，根据访问目标检测域名的IP地址，确定僵尸网络。本实施例的技术方案实现提高分析DNS流量数据的工作效率，降低误报率，提高检测结果的准确性的效果。

技术领域

本发明实施例涉及计算机技术，尤其涉及一种Fast-Flux僵尸网络检测方法、装置、设备及存储介质。

背景技术

僵尸网络是感染僵尸程序病毒的多个互联网主机所构成的网络，控制者和被感染的主机之间通常形成一对多的控制网络，严重危害网络安全，因此，对僵尸网络的检测一直是热点问题。

在正常的DNS服务器中，用户对同一个域名做DNS查询，在较长的一段时间内，无论查询多少次返回的结果基本上是不会改变的。而Fast-flux技术是指不断改变域名和IP地址映射关系的一种技术，也就是说在短时间内查询使用Fast-flux技术部署的域名，会得到不同的结果，因此，Fast-flux技术是僵尸网络的一大利器。现有技术中对Fast-flux僵尸网络检测取决于对DNS查询结果的多次分析，需要通过算法评分机制来评估DNS记录，分析每个DNS查询返回的IP情况，A类IP地址，NS资源数等相关信息来检测。

发明人在实现本发明的过程中，发现现有技术存在如下缺陷：多次分析DNS查询结果，工作量巨大并且准确率不高。

发明内容

本发明实施例提供了一种Fast-Flux僵尸网络检测方法、装置、设备及存储介质，以提高分析DNS流量数据的工作效率，并降低误报率，提高检测结果的准确性。

第一方面，本发明实施例提供了一种Fast-Flux僵尸网络检测方法，该方法包括：

获取目标检测域名，并每隔监控时长，从域名解析服务DNS流量数据中，获取与目标检测域名匹配的解析IP结果数据；

将监控时长划分为多个时间单元，并根据每个时间单元内的解析IP结果数据，计算目标检测域名在每个目标时间单元内的静态统计指标集和动态统计指标集；

在确定目标静态统计指标集不满足正常域名检测条件时，计算与每个目标时间单元内分别对应的归一化静态统计指标集和归一化动态统计指标集；

根据与每个目标时间单元内分别对应的归一化静态统计指标集和归一化动态统计指标集，计算与每个目标时间单元分别对应的拟合静态值和拟合动态值；

将每个目标时间单元下的拟合静态值和拟合动态值，分别输入至预先训练的支持向量机SVM模型中，获取监控时长内每个目标时间单元下目标检测域名是否为异常域名的各识别结果；

根据所述各识别结果中目标检测域名为异常域名的识别结果数目比例与预设比例阈值，获取监控时长内目标检测域名是否为异常域名的目标识别结果；

在确定监控时长内目标检测域名为异常域名时，根据访问目标检测域名的IP地址，确定与目标检测域名匹配的僵尸网络。

第二方面，本发明实施例还提供了一种Fast-Flux僵尸网络检测装置，该装置包括：

解析IP结果获取模块，用于获取目标检测域名，并每隔监控时长，从域名解析服务DNS流量数据中，获取与目标检测域名匹配的解析IP结果数据；

统计指标集获取模块，用于将监控时长划分为多个时间单元，并根据每个时间单元内的解析IP结果数据，计算目标检测域名在每个目标时间单元内的静态统计指标集和动态统计指标集；