[发明专利]一种DNS流量分析方法

权利要求书

1.一种DNS流量分析方法，其特征在于，包括：

A、实时采集网络中的报文信息；

B、对所采集的报文信息进行DNS流量预处理，从中提取出需要的DNS流量信息；

C、对所提取的DNS流量信息进行DNS分析，得到DNS查询域名-返回域名关系集合、DNS查询域名-IP关系集合；

D、对所述DNS查询域名-返回域名关系集合和DNS查询域名-IP关系集合进行归并操作，得到DNS查询域名-IP关系资源表。

2.根据权利要求1所述的方法，其特征在于，所述C包括：

对每一条DNS流量信息，获取其中的查询域名和返回域名，将获取到的查询域名和各个返回域名分别构成一个DNS查询域名-返回域名关系对，所有DNS流量信息的DNS查询域名-返回域名关系对构成DNS查询域名-返回域名关系集合；

对每一条DNS流量信息，获取其中的查询域名和服务器响应IP地址，将获取到的查询域名和各个服务器响应IP地址分别构成一个DNS查询域名-IP关系对，所有DNS流量信息的DNS查询域名-IP关系对构成DNS查询域名-IP关系集合。

3.根据权利要求1或2所述的方法，其特征在于，所述D包括：

D1、对所述DNS查询域名-返回域名关系集合进行归并操作，得到DNS查询域名-返回域名关系字典；

D2、对所述DNS查询域名-IP关系集合进行归并操作，得到DNS查询域名-IP关系字典；

D3、对所述DNS查询域名-返回域名关系字典和DNS查询域名-IP关系字典进行整合，得到DNS查询域名-IP关系资源表。

4.根据权利要求3所述的方法，其特征在于，所述D1包括：

D11、输入DNS查询域名-返回域名关系集合中的第1个DNS查询域名-返回域名关系对，记为(A1，B1)；

如果A1≠B1，则生成域名集合C1＝{A1，B1}；

否则，如果A1＝B1，则生成域名集合C1＝{A1}；

D12、输入DNS查询域名-返回域名关系集合中的第i条DNS查询域名-返回域名关系对，记为(Ai，Bi)，其中，i>＝2，

如果Ai≠Bi，则将Ai和Bi分别与已有的域名集合中的元素相比较：

a)如果已有的域名集合Cm包含Ai，且Cn包含Bi，且m＝n，则执行步骤D13；

b)如果已有的域名集合Cm包含Ai，且Cn包含Bi，且m≠n，则将已有的域名集合Cm和Cn进行合并，将Cn的元素添加到Cm中，并删除Cn；

c)如果已有的域名集合Cm包含Ai，且Bi不被任意已有的域名集合所包含，则将Bi加入到集合Cm中去；或者，如果已有的域名集合Cm包含Bi，且Ai不被任意已有的域名集合所包含，则将Ai加入到集合Cm中去；

d)如果Ai和Bi均不被任意已有的域名集合所包含，则生成域名集合Ci＝{Ai，Bi}；

如果Ai＝Bi，则将Ai与已有的域名集合的中的元素相比较：

a)如果Ai不被任意已有的域名集合所包含，则生成域名集合Ci＝{Ai}；

b)如果Ai被域名集合Cm所包含，执行步骤D13；

D13、重复步骤D12，直至DNS查询域名-返回域名关系集合中的所有DNS查询域名-返回域名关系对处理完毕，得到的所有域名集合构成DNS查询域名-返回域名关系字典。