[发明专利]DNS流量异常的检测方法和系统

权利要求书

1.一种DNS流量异常的检测方法，其步骤包括：

（1）对原始的DNS流量数据进行预处理，提取特征数据源作为待分类的向量；

（2）结合DNS流量的相关特征，对上述向量的每个特征赋予不同的权重；

（3）利用W-Kmeans算法对赋予权重后的向量进行检测分析；

所述W-Kmeans算法，是采用下式计算欧氏距离dis(x,c^y)：

dis(x,cy)=Σi=1mwi(xi-ciy)2,y=1,2,...,k]]>

其中，向量x表示待分类的向量，c^y表示聚类中心向量，m表示向量的特征个数，w_i表示向量第i特征的权重，x_i表示的是向量x的第i特征值，表示的是c^y的第i个特征取值,k为类簇值；

（4）根据检测分析结果，与欧氏距离阈值D_threshold比对，当所述向量与正常类中心向量的距离大于阈值D_threshold时，判定该DNS流量异常。

2.如权利要求1所述的方法，其特征在于，所述特征包括查询速率、源IP地址的分布空间、源IP地址的熵值、查询域名的分布空间、域名查询的最大次数、查询域名的熵值和递归查询的比例。

3.如权利要求1所述的方法，其特征在于，所述聚类中心向量分为正常类中心向量和异常类中心向量两种，k＝2。

4.如权利要求1所述的方法，其特征在于，所述步骤（1）依照单位时间粒度提取特征数据源作为待分类的向量。

5.如权利要求4所述的方法，其特征在于，所述单位时间粒度为10s。

6.如权利要求1所述的方法，其特征在于，所述步骤（2）使不同特征值相减后的差值数量级控制在10倍以内。

7.如权利要求1所述的方法，其特征在于，其步骤还包括：

（5）将分类结果存入知识库中。

8.一种DNS流量异常的检测系统，其特征在于，包括

一数据预处理模块，对原始的DNS流量数据进行预处理；

一数据提取模块，从数据预处理模块中提取预处理过的DNS流量数据的特征向量；

一检测分析模块，将上述特征向量作为待分类向量，对每个特征赋予权重，利用W-Kmeans算法进行检测分析，根据聚类中心值分析聚类结果。

9.如权利要求8所述的检测系统，其特征在于，所述数据提取模块依照单位时间粒度提取预处理过的DNS流量数据的特征向量。

10.如权利要求8所述的检测系统，其特征在于，还包括一模型应用模块和一知识库，所述模型应用模块将所述聚类中心值保存为数据文本文件，并将聚类结果纳入知识库中。