[发明专利]一种DNS域名异常访问检测方法及装置

权利要求书

1.一种DNS域名异常访问检测方法，步骤包括：

获取DNS服务器与DNS客户端的镜像DNS报文；

根据当前周期内的域名访问次数概率分布和正常周期内的域名访问次数概率分布，对所述DNS报文的DNS数据进行KL散度计算；

如果KL散度大于一散度阈值，则对当前周期内的各域名进行KL散度贡献度计算，KL散度贡献度计算公式为C(k)＝P(k)[logP(k)-logQ(k)]，其中P(k)为当前周期内按查询次数排名为K的域名在当前统计周期内的查询概率，Q(k)为正常周期内按查询次数排名为K的域名在正常周期内的查询概率；

将KL散度贡献度超出一贡献度阈值的域名判定为异常域名，发送DNS域名异常访问告警信息并写入数据库；

如果所述KL散度不大于所述散度阈值，则判断当前周期与正常周期相比是否有TopN新增域名，TopN为按照访问次数统计的排名，N根据需要设定；如果有TopN新增域名，则发送DNS域名异常访问告警信息并写入数据库；

如果没有TopN新增域名，则判断TopN域名访问次数变化率是否超出一变化阈值，如果超出，则发送DNS域名异常访问告警信息并写入数据库。

2.根据权利要求1所述的方法，其特征在于，所述DNS数据包括当前周期和正常周期内的域名访问次数。

3.根据权利要求1所述的方法，其特征在于，所述KL散度计算公式为D(p||q)＝E[log(p)-log(q)]，其中p为当前周期内的域名访问次数概率分布，q为正常周期内的域名访问次数概率分布。

4.根据权利要求1所述的方法，其特征在于，所述DNS域名异常访问告警信息包括告警时间、异常域名、域名异常访问次数。

5.根据权利要求1所述的方法，其特征在于，如果所述KL散度贡献度超过贡献度阈值，则在发送DNS域名异常访问告警信息并写入数据库后结束当前周期异常访问检测，否则直接结束当前周期异常访问检测。

6.根据权利要求1所述的方法，其特征在于，如果有TopN新增域名，则在发送DNS域名异常访问告警信息并写入数据库后结束当前周期异常访问检测。

7.根据权利要求1所述的方法，其特征在于，如果TopN域名访问次数变化率超过变化阈值，则在发送DNS域名异常访问告警信息并写入数据库后结束当前周期异常访问检测。

8.一种DNS域名异常访问检测装置，包括DNS域名分析器，所述DNS域名分析器连接路由器，包括存储器和处理器，所述存储器存储计算机程序，所述程序被配置为由所述处理器执行，所述程序包括上述权利要求1-7任一所述方法的各步骤指令。