[发明专利]DNS隧道传输检测方法和装置

摘要

一种基于特征向量的DNS隧道传输检测方法和装置，其通过对正常DNS请求数据和异常的DNS隧道传输数据进行特征训练学习获得机器学习检测模型，并通过对捕获的DNS请求数据进行特征提取，获得该DNS请求数据的特征向量，对该特征向量进行归一化预处理后输入机器学习检测模型进行检测，从而获得DNS隧道传输的检测结果。相对于传统检测方法，该方法提高了DNS隧道的检测准确性和检测效率。

主权项

1.一种基于特征向量的DNS隧道传输检测方法，其特征在于包括以下步骤：步骤一，捕获客户端发送给DNS服务器的DNS请求数据；步骤二，对捕获的DNS请求数据进行特征提取，提取DNS请求数据中请求域名包含的数字个数、DNS请求数据的请求类型、请求域名的长度，并且记录一次DNS会话连接中的上行数据包的数量、上行数据包大小的方差和上行数据包的发送间隔时间，从而获得DNS请求数据的特征向量；该DNS请求数据的特征向量表示如下：V＝{q_number,q_type,q_length,package_size,package_interval,up_package_var}其中，V表示DNS请求数据的特征向量，q_number表示请求域名q中包含的数字个数，q_type表示DNS请求数据的请求类型，q_length表示请求域名的长度，package_size表示一次DNS会话连接中的上行数据包的数量，up_package_var表示一次DNS会话连接中的上行数据包大小的方差，package_interval表示一次DNS会话连接中的上行数据包的发送间隔时间；步骤三，对获得的DNS请求数据的特征向量进行归一化预处理；步骤四，将经过归一化预处理后的特征向量输入机器学习检测模型进行检测，从而获得DNS隧道传输的检测结果，所述机器学习检测模型由正常DNS访问数据和DNS隧道传输数据组成的训练数据训练得到；步骤五，将获得的DNS隧道传输的检测结果进行聚合，以用于更新机器学习检测模型的训练数据，从而对机器学习检测模型进行训练学习。