[发明专利]DNS流量异常的检测方法和系统

说明书

技术领域

本发明属于计算机网络领域，涉及DNS流量检测系统，具体涉及一种DNS流量异常的检测方法和系统。

背景技术

域名系统（Domain Name System，DNS）是连接整个互联网应用层和网络层的纽带，是当今互联网系统的神经中枢，其主要功能是实现了IP地址到域名之间的转换，用来精确定位和标识互联网上的浩瀚资源，是很多重要网络应用（网页浏览、电子邮件等）正常运转的基石。

尽管DNS为广大互联网用户提供了各种基础服务，但很遗憾的是，DNS仍经常遭受到破坏者的恶意攻击，比较常见的有DNS缓存中毒、DNS重定向、DNS信息劫持、DNS放大攻击、DNS的DDOS攻击等。DNS的安全形势越来越严峻，保护DNS的安全稳定不容懈怠，特别是能够主动地检测出DNS流量的异常，对于巩固DNS安全防线意义重大。

在检测DNS流量时，通常需要扫描DNS查询日志。DNS查询日志蕴含着丰富的有用信息，记录了用户查询行为的绝大部分信息，是DNS系统中最宝贵的资源之一。算法检测的数据来源，是CN国家顶级域名权威服务器上记录的DNS查询日志，其产生的日志记录每一行代表一次查询行为，形如：

19-May-2009 19:52:48.103 queries:info:client 189.25.96.41#1044:query:ns.xinnet.cn IN A +

其中，“19-May-200919:52:48.103”为查询请求的到达时间；“189.25.96.41”为用户的源IP地址；“1044”为用户的源端口；“ns.xinnet.cn”为用户请求查询的域名；“IN”为资源类别(class)，表示Internet，是最常见的一种；“A”为资源记录类型(type)，表示请求查询该域名的IPV4地址；“+”表示递归查询。

可以看出，每条日志中有用的信息是：时间、源IP地址、源端口、查询域名、资源类别、资源记录类型、递归标识。在数据的预处理过程中，我们就把这些信息提取出来。

在一些常见的DNS流量攻击中，经常出现很多伪造的查询域名，即：随机字符串+固定域名后缀，而且在域名系统中，形如“ns.xinnet.cn”和“ns2.xinnet.cn”的域名是属于同一个子域“xinnet.cn”的，也是位于同一个区数据文件中的。所以，我们有必要对查询域名进行归约处理，根据CN域名的命名规则，将日志记录中出现的所有CN域名都归约为CN域下的二级域名，或者CN域下的43种按机构性质、行政区域申请的三级域名。比如www.sina.com.cn、news.sina.com.cn、sports.sina.com.cn等，都将被归约为sina.com.cn的查询。

现有技术一般是基于Kmeans算法原理对DNS流量进行异常检测。

Kmeans算法是一种基于划分的聚类分析方法，被广泛应用于各种流量检测中，其核心思想是：将n个向量（对象）的集合划分为k个类簇，使得同一类簇内的向量相似度高，不同类簇之间的向量相似度低。

设待分类的向量集合为{x₁,x₂,x₃，…,x_n}，dis(x,c)表示向量x与向量c的欧氏距离，向量x表示待分类的向量，向量c表示聚类中心向量，m表示向量的特征个数。

该算法的基本流程如下：

①选定y个向量作为初始聚类中心{c¹,c²,…,c^y}。其中，y=1,2,…,k,k为类簇值。

②将待分类的向量逐个计算与每个聚类中心的距离，按最小距离原则把每个向量划分到某一类中，这里是计算向量间的欧氏距离：