[发明专利]一种DNS恶意攻击流量的发现方法及系统

说明书

本发明公开一种DNS恶意攻击流量的发现方法，通过对已知规模的DNS流量进行检测，依次分析其数据报流量及所含的DNS请求域名是否合法，更进一步提取并分析各DNS流量指标，能够快速准确地判断是否为恶意域名和恶意IP地址；通过分析DNS流量的IP地址和域名的关联关系，递归发现更多的恶意域名和恶意IP地址，从而对攻击DNS服务器的恶意流量实现更加精确的定位。本发明还公开一种DNS恶意攻击流量的发现系统，包括数据报流量获取模块、危险发现模块、流量指标计算模块以及恶意分析模块。

技术领域

本发明涉及计算机领域，具体为一种DNS恶意攻击流量的发现方法及系统。

背景技术

作为互联网的重要基础设施，域名系统(DomainNameSystem，DNS)一直为全球互联网的运行提供关键性的基础服务，它的安全和稳定对于互联网是很重要的。

由于DNS请求和响应主要基于不可靠传输层协议UDP，而UDP很容易遭受DDOS攻击、反射攻击。黑客利用掌握的肉鸡向域名服务器发送大流量的DNS包，导致DNS服务器不能正常提供服务，不能正常响应合法用户的正常请求，如导致它们的丢包或时延变大。对于DDOS攻击，需要及时发现其攻击行为和尽快分析出其攻击的目的域名和来源地址等攻击模式，才能为下一步的抵制举措采取及时的响应。

现阶段，有的人专注于全局流量的分析和研究，虽然能够及时发现DNS服务器流量情况发生变化，但是不能确定是否是恶意变化，即使有的方法能够确定是恶意变化，也不能及时发现攻击域名和攻击的来源地址等攻击模式。有的人就是对DNS服务器的总体流量、总体请求率或者为每个来源IP地址设置静态的或者动态的阈值。DNS请求流量是一个动态变化的过程，静态的阀值方法不灵活，易错报。虽然有的发明采用了动态阀值方法，但是因为孤立地分析和研究域名和来源地址的请求情况，所以即使一定程度上能够分析出攻击源地址、攻击目标域名和域名服务器，也不能全面清晰地分析出攻击源地址和攻击目标。

发明内容

为克服上述不足，本发明提供一种DNS恶意攻击流量的发现方法及系统，通过实时分析DNS服务器的流量或者请求日志，从域名和IP地址两个维度来分析以判断DDOS攻击发生。

为解决上述技术问题，本发明所采用的技术方案是：

一种DNS恶意攻击流量的发现方法，适用于对已知规模的DNS流量进行检测，从中找出恶意流量，步骤包括：

1)找出首批恶意流量

1-1)判断发送给DNS服务器的数据报流量对于所述DNS服务器是非法还是合法，如果非法，则所述数据报流量为非法流量，提取恶意域名和恶意IP地址；

1-2)如果所述数据报流量合法，则判断所述数据报流量包含的DNS请求域名是非法还是合法，如果非法，则判定所述数据报流量的IP地址为恶意IP地址，所述DNS请求域名为恶意域名；

1-3)如果所述DNS请求域名合法，从所述数据报流量中提取DNS流量指标，当所述DNS流量指标中的一项或几项异常时，所述DNS请求域名判定为恶意域名，所述数据报流量的IP地址判定为恶意IP地址；

2)递归查找恶意流量

2-1)查找访问所述恶意域名的IP地址和所述恶意IP地址访问的域名，并判断是否为恶意IP地址和恶意域名，如果是，继续查找所述判定的恶意IP地址访问的域名和访问所述判定的恶意域名的IP地址并做出判断，直到满足退出条件时停止。

进一步地，所述发送给DNS服务器的数据报对于所述DNS服务器非法是指，所述数据报使用的协议不是基于TCP或UDP运输层协议报文；或者使用的端口不是TCP53端口或UDP53端口；或者运输层包体部分不符合DNS协议，包括没有合适的DNS包头或DNS包体；或者DNS请求包里设置有qr字段。