[发明专利]一种非法外联行为的检测方法、装置、电子设备及介质

权利要求书

1.一种非法外联行为的检测方法，其特征在于，包括：

监听待检测链路上产生的DNS流量；

解析所述DNS流量，得到待检测设备对应的外网域名访问行为；

根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为。

2.根据权利要求1所述的非法外联行为检测方法，其特征在于，所述外网域名访问行为包括：在预设时长内的外网域名访问行为；

相应地，所述解析所述DNS流量，得到待检测设备对应的外网域名访问行为，包括：

解析所述DNS流量，得到所述待检测设备在所述预设时长内对应的外网域名访问行为。

3.根据权利要求2所述的非法外联行为的检测方法，其特征在于，所述根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为包括：

在发生外网域名访问的情况下，根据在访问所述外网域名之后的所述预设时长内，是否访问所述外网域名对应的子域名，确定所述待检测设备是否发生非法外联行为。

4.根据权利要求3所述的非法外联行为的检测方法，其特征在于，所述根据在访问所述外网域名之后的所述预设时长内，是否访问所述外网域名对应的子域名，确定所述待检测设备是否发生非法外联行为包括：

若第一预设时长内访问了所述外网域名对应的子域名，确定所述待检测设备发生所述非法外联行为；

若第一预设时长内未访问所述外网域名对应的子域名，且第二预设时长内访问了所述外网域名对应的子域名时，则确定所述待检测设备发生所述非法外联行为；其中，所述第二预设时长大于所述第一预设时长。

5.根据权利要求2所述的非法外联行为的检测方法，其特征在于，所述根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为包括：

根据在所述预设时长内是否访问了多个所述外网域名，且多个所述外网域名中至少有两个两两不同，确定所述待检测设备是否发生非法外联行为。

6.根据权利要求1所述的非法外联行为的检测方法，其特征在于，所述外网域名访问行为包括：在访问外网的情况下，所访问的外网域名类型；

相应地，所述解析所述DNS流量，得到待检测设备对应的外网域名访问行为，包括：

解析所述DNS流量，得到所述待检测设备在访问外网的情况下，所访问的所述外网域名类型；

相应地，所述根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为包括：

根据所访问的所述外网域名类型，确定所述待检测设备是否发生非法外联行为。

7.根据权利要求1至6任意一项所述的非法外联行为的检测方法，其特征在于，在确定所述待检测设备发生非法外联行为之后还包括：

累计发生所述非法外联行为的次数；

在所述非法外联行为的所述次数达到预设次数的情况下，发送提示信息至指定设备。

8.一种非法外联行为的检测装置，其特征在于，包括：

监听模块，用于监听待检测链路上产生的DNS流量；

解析模块，用于解析所述DNS流量，得到待检测设备对应的外网域名访问行为；

确定模块，用于根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为。

9.一种电子设备，其特征在于，包括存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的非法外联行为的检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的非法外联行为的检测方法的步骤。