[发明专利]DNS域名异常访问监控方法及装置

权利要求书

1.一种DNS域名异常访问监控方法，其特征在于，包括：

统计DNS查询报文中的DNS域名，得到第一域名集中所包含域名的访问次数和访问次数降序排名；其中，所述第一域名集为当前统计周期内访问次数降序排名在前的多个域名的集合；

对所述第一域名集中所包含的域名，将对应域名的访问次数与该域名根据标准幂律分布计算得到的访问次数进行比较，确定比较结果大于阈值的域名，将在当前统计周期内对所确定域名的访问认定为异常；其中，

所述标准幂律分布描述了基于历史统计数据所得到的域名的访问次数与该域名的访问次数降序排名之间的关系，

所述标准幂律分布的表达式为：其中，x表示访问次数降序排名，y表示访问次数，均为标准幂律分布的幂律指数；该方法还包括：

统计DNS查询报文中的DNS域名，得到多个第二域名集中所包含域名的访问次数和访问次数降序排名；其中，所述第二域名集为一个统计周期内访问次数降序排名在前的多个域名的集合；

根据所述多个第二域名集中所包含域名的访问次数和访问次数降序排名，计算每个第二域名集的幂律指数；根据每个第二域名集的幂律指数，计算所述多个第二域名集的幂律指数均值，将所述幂律指数均值作为标准幂律分布的幂律指数，从而得到标准幂律分布。

2.根据权利要求1所述的DNS域名异常访问监控方法，其特征在于，还包括：

对所述多个第二域名集中所包含域名，为对应域名的访问次数与该域名根据所述标准幂律分布计算得到的访问次数求差，得到多个差值，计算所述多个差值的均值与标准差，根据所述多个差值的均值与标准差确定所述阈值。

3.根据权利要求2所述的DNS域名异常访问监控方法，其特征在于，所述阈值为μ+3σ，其中，μ为所述多个差值的均值、σ为所述多个差值的标准差。

4.一种DNS域名异常访问监控装置，其特征在于，包括：

第一统计模块，用于统计DNS查询报文中的DNS域名，得到第一域名集中所包含域名的访问次数和访问次数降序排名；其中，所述第一域名集为当前统计周期内访问次数降序排名在前的多个域名的集合；

异常认定模块，用于对所述第一域名集中所包含的域名，将对应域名的访问次数与该域名根据标准幂律分布计算得到的访问次数进行比较，确定比较结果大于阈值的域名，将在当前统计周期内对所确定域名的访问认定为异常；其中，

所述标准幂律分布描述了基于历史统计数据所得到的域名的访问次数与该域名的访问次数降序排名之间的关系，

所述标准幂律分布的表达式为：其中，x表示访问次数降序排名，y表示访问次数，均为标准幂律分布的幂律指数；该装置还包括：

第二统计模块，用于统计DNS查询报文中的DNS域名，得到多个第二域名集中所包含域名的访问次数和访问次数降序排名；其中，所述第二域名集为一个统计周期内访问次数降序排名在前的多个域名的集合；

标准幂律分布生成模块，用于根据所述多个第二域名集中所包含域名的访问次数和访问次数降序排名，计算每个第二域名集的幂律指数；根据每个第二域名集的幂律指数，计算所述多个第二域名集的幂律指数均值，将所述幂律指数均值作为标准幂律分布的幂律指数，从而得到标准幂律分布。

5.根据权利要求4所述的DNS域名异常访问监控装置，其特征在于，还包括：

阈值设置模块，用于对所述多个第二域名集中所包含域名，为对应域名的访问次数与该域名根据所述标准幂律分布计算得到的访问次数求差，得到多个差值，计算所述多个差值的均值与标准差，根据所述多个差值的均值与标准差确定阈值。

6.根据权利要求5所述的DNS域名异常访问监控装置，其特征在于，所述阈值为μ+3σ，其中，μ为所述多个差值的均值、σ为所述多个差值的标准差。

7.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至3任一项所述DNS域名异常访问监控方法的步骤。

8.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至3任一项所述DNS域名异常访问监控方法的步骤。