[发明专利]一种非法外联行为的检测方法、装置、电子设备及介质

说明书

本申请公开了一种非法外联行为的检测方法、装置、电子设备及介质，包括监听待检测链路上所产生的DNS流量，并对DNS流量进行解析得到待检测设备对应的外网域名访问行为，根据外网域名访问行为确定待检测设备是否发生非法外联行为。由此，无需安装客户端软件，通过监听到的待检测链路上的DNS流量，并进行解析得到待检测设备对应的外网域名访问行为，最后依据外网域名访问行为确定待检测设备是否发生非法外联行为，相比部署发送设备和接收设备进行非法外联检测只能确定待检测设备具备非法外联的网络环境，并不能确定待检测设备是否发生非法外联行为的方式，本方案可以直接确定是否发生非法外联行为，提高检测的效率和准确性。

技术领域

本申请涉及计算机领域，特别是涉及一种非法外联行为的检测方法、装置、电子设备及介质。

背景技术

随着互联网的不断发展，人们越来越关注网络的安全性，因此，如何维护网络安全变得至关重要。在国家机关和某些企业单位等场景中，为了保证网络的安全，确保机密文件和重要信息不被泄露，将网络划分为内网和互联网，通过禁止内网主机连接互联网实现对工作人员的上网行为进行检测和限制。

非法外联指的是设备在未授权的情况下，非法通过第三方上网通道(例如，私接WIFI和连接移动热点等)连接不允许访问的网络(比如互联网)。

目前，对非法外联行为进行检测时，通常在被检测设备上安装客户端软件，以便获取被检测设备的实时网络访问行为，从而判断该设备是否非法外联。或者，在待扫描内网和外网分别部署发送设备和接收设备，发送设备发送伪造数据包至被检测设备，若被检测设备可以访问互联网，则被检测设备将返回相应的数据至接收设备，接收设备接收到数据后完成对被检测设备的非法外联确认。

上述提到的两种方式，在被检测设备上安装客户端软件进行非法外联检测时，安装客户端软件成本高，且需要开发适配于各个操作系统的客户端软件，实现难度大，对于无法安装客户端软件的场景则无法进行非法外联检测。部署发送设备和接收设备进行非法外联检测时，由于只能适用于检测某个特定的网络流量(例如，HTTP流量)，因此使用范围较小，且该方法只能证明被检测设备具备非法外联的网络环境，并不能确定被检测设备是否发生非法外联的行为，因此，基于数据响应进行非法行为检测的适用范围窄且无法实时检测非法外联行为发生。

由此可见，在不安装客户端软件的情况下，提高检测非法外联行为的适用范围以及实现实时非法外联行为检测，是本领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种非法外联行为的检测方法、装置、电子设备及介质，无需安装客户端软件，通过监听待检测链路上的DNS流量，并对DNS流量进行解析获得外网域名访问行为，根据获得的外网域名访问行为确定待检测设备是否发生非法外联行为，避免部署发送设备和接收设备进行非法外联行为检测带来的适用范围窄和无法实时检测非法外联行为发生的技术问题，进而提高网络安全性。

为解决上述技术问题，本申请提供一种非法外联行为的检测方法，包括：

监听待检测链路上产生的DNS流量；

解析所述DNS流量，得到待检测设备对应的外网域名访问行为；

根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为。

优选地，所述外网域名访问行为包括：在预设时长内的外网域名访问行为；

相应地，所述解析所述DNS流量，得到待检测设备对应的外网域名访问行为，包括：

解析所述DNS流量，得到所述待检测设备在预设时长内对应的外网域名访问行为。

优选地，所述根据所述外网域名访问行为，确定所述待检测设备是否发生非法外联行为包括：