[发明专利]一种DNS恶意攻击流量的发现方法及系统

权利要求书

1.一种DNS恶意攻击流量的发现方法，适用于对已知规模的DNS流量进行检测，步骤包括：

检测发送给DNS服务器的数据报流量；

如果所述数据报流量相对于所述DNS服务器非法，则提取恶意域名和恶意IP地址；

如果所述数据报流量相对于所述DNS服务器合法，则检测所述数据报流量包含的DNS请求域名，如果所述DNS请求域名非法，则判定所述数据报流量的IP地址为恶意IP地址，所述DNS请求域名为恶意域名；

如果所述DNS请求域名合法，则从所述数据报流量中提取DNS流量指标，当所述DNS流量指标中的一项或几项异常时，所述DNS请求域名判定为恶意域名，所述数据报流量的IP地址判定为恶意IP地址；

查找访问所述恶意域名的IP地址和所述恶意IP地址访问的域名，并判断是否为恶意IP地址和恶意域名，如果是，则继续查找所述判定的恶意IP地址访问的域名和访问所述判定的恶意域名的IP地址并做出判断，直至满足退出条件。

2.根据权利要求1所述的方法，其特征在于，所述数据报相对于DNS服务器非法是指，所述数据报使用的协议不是基于TCP或UDP运输层协议报文；或者使用的端口不是TCP53端口或UDP53端口；或者运输层包体部分不符合DNS协议，包括没有合适的DNS包头或DNS包体；或者DNS请求包里设置有qr字段。

3.根据权利要求1所述的方法，其特征在于，所述DNS请求域名非法是指所述DNS请求域名不属于所述DNS服务器的服务范围或不符合DNS国际标准；合法是指所述DNS请求域名属于所述DNS服务器的服务范围且符合DNS国际标准。

4.根据权利要求1所述的方法，其特征在于，所述DNS流量指标包括DNS请求率、DNS服务器响应时间、DNS响应包大小。

5.根据权利要求4所述的方法，其特征在于，所述DNS流量指标异常包括：

所述DNS请求率超过平时平均值的至少2倍，或者比其他域名或者IP地址的请求率大至少10倍；

所述DNS服务器响应时间超过平时平均值的至少2倍，或者比其他域名请求的响应时间大至少一个数量级；

所述DNS响应包大小超过平时平均值的至少3倍，或者比其他域名请求响应包大至少1倍。

6.根据权利要求1所述的方法，其特征在于，所述退出条件包括：找不到更多的恶意域名、恶意IP地址，或者查找时间超过平均查找时间的3倍，或者查找到的恶意域名、恶意IP地址的被查询次数、查询次数小于平时平均值的1/2。

7.根据权利要求1所述的方法，其特征在于，所述判断查找到的所述恶意IP地址访问的域名为恶意域名的方法包括：

历史访问量，在过去一定时间内，如果所述域名的请求率因太大而属于小概率事件，或者超过平时平均请求率的3倍，则认为所述域名正遭受恶意攻击，可判定所述域名为恶意域名；

历史域名空间，在当前所有域名的请求中，如果所述域名的请求率因太大而属于小概率事件，或者超过平时平均请求率的3倍，则认为所述域名正遭受恶意攻击，可判定所述域名为恶意域名；

子域名数量，在所有域名中，如果所述域名的子域名数量因太大而属于小概率事件，或者超过平时平均值的3倍，则认为所述域名正遭受恶意攻击，可判定所述域名为恶意域名；

请求域名的否定应答情况，如果所述域名的否定应答的子域名数量占子域名总数的比例因太大而属于小概率事件，或超过平时平均值的3倍，则认为所述域名正遭受恶意攻击，可判定所述域名为恶意域名；如果所述域名的所有否定应答子域名的总访问次数占总访问数的比例因太大而属于小概率事件，或者超过平时平均值的3倍，则认为所述域名正遭受恶意攻击，可判定所述域名为恶意域名。