[发明专利]一种基于熵模型的DNS反解攻击的检测方法

摘要

本发明公开了一种基于熵模型的DNS反解攻击的检测系统，包括DNS查询日志记录模块、熵计算模块和攻击检测模块；同时，利用该检测系统实现了DNS的反解攻击检测首先，DNS查询日志记录模块记录一段时间内的DNS查询动作，DNS查询动作包括查询时间、源IP地址和查询内容；然后，在熵计算模块中，根据查询时间按照时间间隔将DNS查询动作分为多个时间片；并计算各个时间片内的DNS查询动作的熵值；最后，攻击检测模块根据各个时间片内的DNS查询动作的熵值，判断是否发生攻击行为并检测攻击行为的类型。本发明利用连续时间片的DNS查询动作的熵值的变化，实现了快速实时地检测，从而提高了网络流量检测的效率。

主权项

一种基于熵模型的DNS反解攻击的检测方法，其特征在于，包括：提供一种基于熵模型的DNS反解攻击的检测系统，包括DNS查询日志记录模块、熵计算模块和攻击检测模块；所述DNS查询日志记录模块用于记录DNS查询动作，所述DNS查询动作包括查询时间、源IP地址和查询内容；所述熵计算模块用于计算时间片内的所述源IP地址的熵值和所述查询内容的熵值；所述攻击检测模块用于根据所述源IP地址的熵值和所述查询内容的熵值确定是否发生攻击以及确定攻击行为的类型；首先，所述DNS查询日志记录模块记录一段时间内的所述DNS查询动作，所述DNS查询动作包括查询时间、源IP地址和查询内容；然后，在所述熵计算模块中，按照时间间隔将所述DNS查询动作分为多个时间片；并计算各个所述时间片内的所述DNS查询动作的熵值；最后，所述攻击检测模块根据各个所述时间片内的所述DNS查询动作的熵值，判断是否发生攻击行为并检测攻击行为的类型；所述熵计算模块是按照如下步骤计算所述DNS查询动作的熵值的：首先，所述熵计算模块将所述DNS查询动作根据所述查询时间按照所述时间间隔分成多个时间片；其次，按照各个所述时间片解析所述源IP地址和所述查询内容；然后，按照所述源IP地址进行分组，同时，在所述源IP地址的分组基础上对所述查询内容进行分组；最后，计算各个所述时间片内的所述DNS查询动作的熵值，并加入熵值序列。