[发明专利]一种DNS隧道流量检测方法及装置

权利要求书

1.一种DNS隧道流量检测方法，其特征在于，包括：

对获取到的待检测流量进行特征提取处理，得到特征数据；

根据所述特征数据计算所述待检测流量的信息度量值；

判断所述信息度量值是否大于预先计算的信息度量阈值；

如果不大于，则确定所述待检测流量为DNS隧道流量。

2.根据权利要求1所述的DNS隧道流量检测方法，其特征在于，所述对获取到的待检测流量进行特征提取处理，得到特征数据，包括：

对所述待检测流量进行数据分组，得到至少一组分组流量数据；

按照预设的特征数据计算规则计算每组所述分组流量数据的特征向量；

汇总所有特征向量得到所述待检测流量的特征数据。

3.根据权利要求1所述的DNS隧道流量检测方法，其特征在于，所述根据所述特征数据计算所述待检测流量的信息度量值，包括：

根据所述特征数据计算所述待检测流量的主成分分析值；

根据所述主成分分析值计算所述待检测流量的互信息值，所述互信息值为所述待检测流量的信息度量值。

4.根据权利要求1所述的DNS隧道流量检测方法，其特征在于，在所述对获取到的待检测流量进行特征提取处理，得到特征数据之前，所述方法还包括：

获取用于计算信息度量阈值的DNS正常流量和DNS隧道流量；

根据预设的混合比例，对所述DNS正常流量和DNS隧道流量进行混合处理，得到混合流量；

分别对所述DNS正常流量和所述混合流量进行特征提取处理，得到所述DNS正常流量的第一特征数据和所述混合流量的第二特征数据；

根据所述第一特征数据，计算所述DNS正常流量的第一信息度量值，以及根据所述第二特征数据，计算所述混合流量的第二信息度量值；

根据预设的阈值确定规则、所述第一信息度量值和所述第二信息度量值，确定信息度量阈值。

5.根据权利要求4所述的DNS隧道流量检测方法，其特征在于，所述获取用于计算信息度量阈值的DNS正常流量和DNS隧道流量，包括：

通过流量采集设备在本地DNS服务器上收集DNS正常流量；

通过DNS隧道工具模拟生成DNS隧道流量。

6.一种DNS隧道流量检测装置，其特征在于，包括：

第一提取模块，用于对获取到的待检测流量进行特征提取处理，得到特征数据；

第一计算模块，用于根据所述特征数据计算所述待检测流量的信息度量值；

判断模块，用于判断所述信息度量值是否大于预先计算的信息度量阈值；

确定模块，用于当判断出所述信息度量值大于所述信息度量阈值时，确定所述待检测流量为DNS隧道流量。

7.根据权利要求6所述的DNS隧道流量检测装置，其特征在于，所述第一提取模块，包括：

第一子模块，用于对所述待检测流量进行数据分组，得到至少一组分组流量数据；

第二子模块，用于按照预设的特征数据计算规则计算每组所述分组流量数据的特征向量；以及汇总所有特征向量得到所述待检测流量的特征数据。

8.根据权利要求6所述的DNS隧道流量检测装置，其特征在于，所述第一计算模块，包括：

第三子模块，用于根据所述特征数据计算所述待检测流量的主成分分析值；

第四子模块，用于根据所述主成分分析值计算所述待检测流量的互信息值，所述互信息值为所述待检测流量的信息度量值。

9.一种计算机设备，其特征在于，包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述计算机设备执行权利要求1至5中任一项所述的DNS隧道流量检测方法。

10.一种计算机可读存储介质，其特征在于，其存储有用于实现权利要求1至5中任一项所述的DNS隧道流量检测方法时所使用的计算机程序。