[发明专利]一种DNS放大攻击的检测方法、系统及相关组件

说明书

本申请公开了一种DNS放大攻击的检测方法，所述检测方法包括根据历史流量数据确定目标时刻的第一DNS数据包数量和历史时刻的第二DNS数据包数量；判断第一DNS数据包数量与第二DNS数据包数量的比值是否大于预设值；若是，则从历史流量数据中获取距离目标时刻预设时间范围内的待检DNS数据包；对待检DNS数据包进行特征分析并根据特征分析结果判断是否存在DNS放大攻击；若是，则输出检测到DNS放大攻击的安全事件。本方法能够准确检测不同应用环境的DNS放大攻击，进而降低误报率和漏报率。本申请还公开了一种DNS放大攻击的检测系统、一种计算机可读存储介质及一种DNS放大攻击的检测装置，具有以上有益效果。

技术领域

本发明涉及防火墙技术领域，特别涉及一种DNS放大攻击的检测方法、系统、一种计算机可读存储介质及一种DNS放大攻击的检测装置。

背景技术

DNS(Domain Name System，域名系统)外发放大攻击，也称为DNS外发放大攻击或杠杆攻击(DNS Amplification Attack)，是拒绝服务攻击的一种，具体来说是一种数据包的大量变体能够产生针对一个目标的大量的虚假的通讯。DNS放大攻击使用针对无辜的第三方的欺骗性的数据包来放大通讯量，其目的是耗尽受害者的全部带宽，严重影响了业务的正常运行。

现有技术中，安全厂商主要使用如下加测手段：设置一个阀值，检测某一个某个时间点外发的数据包频率是否超过阀值，若超过阈值则认为存在DNS放大攻击。但是由于不同客户、不同主机、访问的网络模型不同，因此该现有技术中的阈值很难确定，当对所有用户都使用一个固定的阀值的时候很容易引起误报漏报。

因此，如何准确检测不同应用环境的DNS放大攻击，进而降低误报率和漏报率是本领域技术人员目前需要解决的技术问题。

发明内容

本申请的目的是提供一种DNS放大攻击的检测方法、系统、一种计算机可读存储介质及一种DNS放大攻击的检测装置，能够准确检测不同应用环境的DNS放大攻击，进而降低误报率和漏报率。

为解决上述技术问题，本申请提供一种DNS放大攻击的检测方法，该检测方法包括：

根据历史流量数据确定目标时刻的第一DNS数据包数量和历史时刻的第二DNS数据包数量；其中，历史时刻早于目标时刻预设时长；

判断第一DNS数据包数量与第二DNS数据包数量的比值是否大于预设值；

若是，则从历史流量数据中获取距离目标时刻预设时间范围内的待检DNS数据包；

对待检DNS数据包进行特征分析并根据特征分析结果判断是否存在DNS放大攻击；若是，则输出检测到DNS放大攻击的安全事件。

可选的，根据历史流量数据确定目标时刻的第一DNS数据包数量和历史时刻的第二DNS数据包数量包括：

根据历史流量数据生成以DNS数据包数量为统计指标的时间序列；

分析时间序列确定目标时刻的第一DNS数据包数量和历史时刻的第二DNS数据包数量。

可选的，对待检DNS数据包进行特征分析并根据特征分析结果判断是否存在DNS放大攻击包括：

对待检DNS数据包进行域名特征分析并判断待检DNS数据包的域名中是否存在非法域名；若是，则存在DNS放大攻击；

或，对待检DNS数据包进行源IP特征分析并判断待检DNS数据包的源IP地址是否为预设IP地址；若否，则存在DNS放大攻击；

或，对待检DNS数据包进行响应比及失败率分析并判断响应比是否小于预设响应比且失败率大于预设失败率；若是，则存在DNS放大攻击。

可选的，非法域名具体为正常域名与随机字符串组成的域名。