CN102694696B - Dns服务器异常检测的方法及装置 - Google Patents

Abstract

本发明提供一种DNS服务器异常检测的方法及装置，方法包括：获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常。根据本发明的DNS服务器异常检测的方法及装置，能够及时检测出DNS服务器的异常。

Description

DNS服务器异常检测的方法及装置

技术领域

本发明涉及一种通信技术，尤其涉及DNS服务器异常检测的方法及装置。

背景技术

域名系统（Domain Name System，DNS服务器）是互联网基础设置提供的一种核心服务，该DNS服务器是将域名和IP地址相互映射成一个分布式数据库，以及实现域名和网络可以识别的IP地址转换功能的软件系统。DNS服务器在运行过程中存在许多潜在的缺陷和漏洞，这些缺陷和漏洞可能会影响DNS服务器的正常运行，降低服务质量。例如可能存在多种因素造成DNS服务器系统的查询数据、使用数据、应答数据等功能的使用异常。这些因素包括：（1）DNS服务器攻击，例如拒绝服务攻击、DNS服务器反射攻击、缓存污染以及域名劫持等等；（2）配置错误，例如系统管理员对防火墙或DNS服务器的配置错误，会产生大量的垃圾查询，如A-for-A（一对一）查询、RFC（Request For Comments，一系列以编号排定的文件）1918PTR（反向查询）查询、未知TLD（Top Level Domain，顶级域名）查询等；（3）网络舆情，由于互联网具有虚拟性、隐蔽性、发散性、渗透性和随意性等特点，越来越多的网民愿意通过网络渠道来表达观点和传播思想。为了保证DNS服务器的正常服务，对DNS服务器进行异常检测就十分必要。

现有技术中的DNS服务器异常检测方法主要是基于流量的方式。正常情况下，流经DNS服务器的流量在用户的行为模式影响下会有规律地波动，但都维持在一个稳定的范围内，当超出了这个范围，通常是超出预设阈值时，就会被认为是DNS服务器异常，进而会进行相应的操作，例如增加服务器数量或者对具有某些特征的流量进行过滤，从而消除异常对DNS服务器的影响，保证服务器质量。

但是在流量超出阈值之前，其实异常就已经发生，只不过异常的特征还没有体现在流量上。当流量超过预设阈值以后，其实异常已经到了一个十分严重的地步，已经大大影响了DNS服务器的正常运行。因此，如何及时检测出DNS服务器异常，成为亟需解决的问题。

发明内容

本发明提供一种DNS服务器异常检测的方法及装置，用于及时检测出DNS服务器的异常。

本发明的第一个方面是提供一种DNS服务器异常检测的方法，包括：

获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；

根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常。

如上所述的DNS服务器异常检测的方法，优选地，所述根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常包括：

当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常并发出报警信息。

如上所述的DNS服务器异常检测的方法，优选地，获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率包括：

在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；

将访问频率与公式exp[age1·ln(0.5)/halflife2]相乘，并将最终结果加1后更新为访问频率；

其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期。

如上所述的DNS服务器异常检测的方法，优选地，在所述获取访问DNS服务器的各检测参数和各检测参数的访问频率之后还包括：

根据所述访问频率对所述检测参数进行分组处理。

如上所述的DNS服务器异常检测的方法，优选地，根据所述访问频率对所述检测参数进行分组处理包括:

将所述访问频率最高的检测参数划分为第一组；

将所述访问频率位于第2位至第5位的检测参数划分为第二组；

将所述访问频率位于第6位至21位的检测参数划分为第三组；

将所述访问频率位于第22位至第227位的检测参数划分为第四组；

将剩余的检测参数划分为第五组。

如上所述的DNS服务器异常检测的方法，优选地，所述根据所述访问时间和所述访问频率获取卡方统计值包括：

根据所述各所述访问频率获取各组的访问频率总和；

根据所述各组的访问频率总和以及所述上一预设时间段内各组的已知期望值获取本预设时间段内各组的期望值；

根据所述各组的期望值和所述各组访问频率总和获取所述卡方统计值。

如上所述的DNS服务器异常检测的方法，优选地，根据所述各所述访问频率获取各组的访问频率总和包括:

将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；

根据所述各组的访问频率总和以及上一预设时间段内各组的已知期望值获取本预设时间段内各组的期望值包括：

根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据所述各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且所述第二半衰期大于所述第一半衰期，所述age2为预设时间段；

所述根据所述各组的期望值和所述各组访问频率总和获取所述卡方统计值包括：

根据公式获取所述卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

本发明的另一个方面是提供一种DNS服务器异常检测的装置，包括：

获取模块，用于获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；

统计模块，用于根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常。

如上所述的DNS服务器异常检测的装置，优选地，所述统计模块包括：

获取卡方统计值子模块，用于根据各所述访问时间和所述访问频率获取卡方统计值；

判断子模块，用于当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常。

如上所述的DNS服务器异常检测的装置，优选地，还包括：

分组模块，用于根据所述访问频率对所述检测参数进行分组处理；

所述获取模块包括：

获取访问频率子模块，用于在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；

更新子模块，用于将访问频率与公式exp[age1·ln(0.5)/halflife2]相乘，并将最终结果加1后更新为访问频率，其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期；

所述获取卡方统计值子模块包括：

获取总和子单元，用于将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；

获取期望值子单元，用于根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据所述各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且所述第二半衰期大于所述第一半衰期，所述age2为预设时间段；

计算卡方统计值子单元，用于根据公式获取所述卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

本发明提供的DNS服务器异常检测的方法及装置，通过获取检测参数的卡方统计值并与历史卡方值进行比较，能够及时检测出DNS服务器的异常。

附图说明

图1为根据本发明一实施例的DNS服务器异常检测的方法的流程示意图；

图2为根据本发明另一实施例的DNS服务器异常检测的方法的流程示意图；

图3为根据本发明再一实施例的DNS服务器异常检测的装置的结构示意图；

图4为根据本发明又一实施例的DNS服务器异常检测的装置的结构示意图。

具体实施方式

卡方检验是一种假设检验方法，其可以精确地反映某个参数是否符合某种特定分布。下面各实施例中将对DNS服务器中的检测参数做卡方检验，以及时反映DNS服务器是否出现异常。

实施例一

本发明提供一种DNS服务器异常检测的方法，其适用于DNS服务器异常检测的装置，该DNS服务器异常检测的装置通过获取各检测参数以及各检测参数对应的访问频率，将各检测参数以及各检测参数对应的访问频率进行卡方检验来判断DNS服务器是否出现异常。

如图1所示，为根据本实施例的DNS服务器异常检测的方法的流程示意图。

步骤101，获取预设时间段内访问DNS服务器的各检测参数的访问时间和各检测参数的访问频率，该检测参数为IP地址或域名。

可以通过读取DNS服务器的日志的方式来获取访问该DNS服务器的各检测参数、各检测参数对应的访问时间以及各检测参数的访问频率。

当检测参数为IP地址时，访问时间为该IP地址访问该DSN服务器的时间，访问频率为IP地址在预设时间段内访问该DNS服务器的次数，该访问频率可以是同一IP地址出现的次数，也可以是将同一IP地址出现的次数做指数衰减处理后获取的值。例如，在预设时间段内，某一检测参数出现的次数为10次，则该检测参数所对应的访问频率可以为10次；也可以是将每次出现的访问频率做指数衰减并加1之后作为访问频率，当该预设时间段达到终点时，该检测参数对应的访问频率即为最终的访问频率。现有技术中已经有很多指数衰减的方法，在此不再赘述。

当检测参数为域名时，访问时间为该域名被访问的时间，访问频率为各域名被访问的频率，同样，该访问频率可以是同一域名被访问的次数，也可以是同一域名被访问的次数做指数衰减处理后获取的值。能够想到的是，由于域名属于该DNS服务器，即DNS服务器包含各种域名，访问某域名即访问了该DNS服务器。

预设时间段可以根据实际需要进行设定，例如为5秒钟、1分钟、2分钟或者10分钟。

步骤102，根据各访问时间和各访问频率获取卡方统计值，并根据卡方统计值和历史卡方值判断DNS服务器是否出现异常。

历史卡方值即为在DNS服务器未出现异常时获取的卡方统计值。

本实施例根据卡方统计值和历史卡方值判断DNS服务器是否出现异常具体包括：当卡方统计值与历史卡方值的差值超过预设阈值时，判断DNS服务器出现异常并发出报警信息。例如，当卡方统计值比历史卡方值突然增大很多时，可以简单理解为该DNS服务器遭到了DOS（Denial of Service，拒绝服务）攻击。这里的预设阈值可以根据实际需要自行设定。报警信息可以是采用预设的报警铃音和/或在DNS服务器的显示屏上显示报警文字，现有技术中已经有很多报警方法，在此不再赘述。

本实施例中所采用的方法是对访问DNS服务器的检测参数进行卡方检验，由于卡方统计值能够精确反映出DNS服务器的异常，即在DNS服务器出现较小异常时就能够及时发现并发出报警信息，灵敏度较高，这样能够使工作人员及时消除异常对DNS服务器的影响，保证DNS服务器质量。

需要指出的是，对于步骤101和步骤102可以重复操作，即可以有多个预设时间段，并在这多个时间段内分别进行上述操作。在当前预设时间段内之前的多个预设时间段内所获取的多个相近的卡方统计值中的某一个，可以作为历史卡方值，或者是将这多个相近的卡方统计值的平均值作为历史卡方值。能够想象到的是，历史卡方值一定是已知的DNS服务器未出现异常时的卡方统计值。当当前时间段内的卡方统计值与之前预设时间段内的历史卡方值的差值没有超过预设阈值时，可以判断出当前时间段内的DNS服务器没有出现异常。

实施例二

本实施例提供一种DNS服务器异常检测的方法。

如图2所示，为根据本实施例的DNS服务器异常检测的方法的流程示意图。

步骤201，在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率。

在预设时间段内，每一次出现检测参数时，就获取预先记录的该检测参数对应的访问时间和访问频率，然后进行步骤202的操作，直至到达预设时间段的终止点。需要指出的是，当检测参数为IP地址时，各IP地址均有其自身对应的访问频率；同样，当检测参数为域名时，各域名均有其自身对应的访问时间和访问频率。

步骤202，将访问频率与公式exp[age1·ln(0.5)/halflife1]相乘，并将最终结果加1后更新为访问频率。其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期，该第一半衰期类似于物理学上的半衰期，即与放射性元素的半衰期的意义一样，就是当前访问频率值衰减到一半所用的时间。本实施例中的第一半衰期可以根据实际需要自行设定。

该步骤的目的是将访问频率作指数衰减，经过指数衰减的访问频率可以使最终的卡方统计值更加精确。需要指出的是，当访问频率与公式exp[age1·ln(0.5)/halflife]相乘的结果不是整数时，可以采用四舍五入的方法使访问频率保持一个整数。

步骤203，根据访问频率对检测参数进行分组处理。该步骤的目的是为了减少卡方检验中各检测参数之间访问频率的差距，即将访问频率比较相近的检测参数划分到一组内，这样能够使卡方统计值的结果精确。

该步骤中根据访问频率将检测参数分为M组，其中M为大于或等于5的整数。

例如，M为5时，可以将检测参数按照访问频率分为以下几组：

将访问频率最高的检测参数划分为第一组；

将访问频率位于第2位至第5位的检测参数划分为第二组；

将访问频率位于第6位至21位的检测参数划分为第三组；

将访问频率位于第22位至第227位的检测参数划分为第四组；

将剩余的检测参数划分为第五组。

步骤204，根据各访问频率获取各组的访问频率总和。

将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和。如步骤203所述，如果将检测参数分为5组，则应该得到5个访问频率总和。

步骤205，根据各组的访问频率总和以及上一预设时间段内各组的已知期望值获取本预设时间段内各组的期望值。

该步骤205具体包括：

步骤b1：根据上一预设时间段内各组对应的已知期望值与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组的第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且第二半衰期大于第一半衰期，age2为预设时间段的值。本实施例中的第二半衰期可以根据实际需要自行设定，该第二半衰期类似于物理学上的半衰期，即与放射性元素的半衰期的意义一样，就是当前期望值衰减到一半所用的时间。

步骤206，根据各组的期望值和各组访问频率总和获取卡方统计值。

该步骤206具体包括：其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

步骤207，根据卡方统计值和历史卡方值判断DNS服务器是否出现异常。即当卡方统计值超过历史卡方值预设阈值时，可以判断出该DNS服务器出现异常。

根据本实施例的DNS服务器异常检测的方法，通过统计预设时间段内的检测参数以及各检测参数对应的访问频率，并对相应的访问频率做指数衰减操作，最终得到卡方统计值，然后通过比较卡方统计值和历史卡方值判断DNS服务器是否出现异常，能够在DNS服务器异常出现早期就及时发现该异常，以保证DNS服务器的质量。

实施例三

本实施例提供一种DNS服务器异常检测方法的具体实例，本实施例具体以IP地址为检测参数进行说明。

步骤301，在预设时间段内，当IP地址出现时，获取该IP地址对应记录的访问时间和访问频率。

本实施例中的预设时间段为5秒钟。当进入预设时间段内，每出现一个IP地址即获取其对应的访问时间和访问频率。能够想象的到，也许在预设时间段内统一IP地址多次出现，每一次出现时，都要获取其对应的访问时间和访问频率，并进行步骤302的操作。需要指出的是，这里的访问频率指的是本次IP地址出现之前的访问频率。

步骤302，将访问频率与公式exp[age1·ln(0.5)/halflife1]相乘，并将最终结果加1后更新为访问频率，其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期。本实施例中的halflife1可以为1000。

对于每一次出现的IP地址，都要如步骤302中的进行操作。能够想象的到，当某个IP地址是第一次出现时，即该IP地址是第一次访问该DNS服务器，在本预设时间段之前该IP地址也从未出现过，步骤301中所获取的IP地址对应记录的访问频率为0，并且由于之前并未有过更新访问频率的操作，age1值应该是0，当历史访问频率与公式exp[age1·ln(0.5)/halflife1]相乘结果应该为0，此时将0与1相加得到1作为最终结果，并将最终结果1更新记录为访问频率，那么当下一次该IP地址再次出现时，其所对应的访问频率就为1。假设，当在预设时间段的第1秒时，某一IP地址出现并更新过访问频率之后，此时该age1的值为0，在预设时间段的第4秒时，该IP又再次出现了，此时age1值即为4秒-1秒=3秒。

经统计，本实施例中的预设时间段内的所有IP地址的数量为500，用以下集合进行表示{C₁，C₂，C₃，…，C₅₀₀}，本实施例中按照访问频率从高到低对IP地址进行排序，相应地，每个IP地址在经过步骤301和步骤302的处理之后，在预设时间段的终止点各IP地址当前对应的访问频率用V_q来表示，其中，1≤q≤500。

步骤303，按照访问频率从高到低，将IP地址分为5组。

将访问频率最高的IP地址划分为第一组，即{C₁}；

将访问频率位于第2位至第5位的IP地址划分为第二组，即{C₂，C₃，C₄，C₅}；

将访问频率位于第6位至第21位的IP地址划分为第三组，即{C₆，C₇，C₈，…，C₂₁}；

将访问频率位于第22位至277位的IP地址划分为第四组，即{C₂₂，C₂₃，C₂₄，…，C₂₂₇}；

将其余的检测参数划分为第五组即{C₂₂₈，C₂₂₉，C₂₃₀，…，C₅₀₀}。

步骤304，将每组中各IP地址对应的访问频率相加得到相应组的访问频率的总和，分别为N₁、N₂、N₃、N₄和N₅，具体地如下所示：

N₁=V₁；

N₂=V₂+V₃+V₄+V₅；

N₃=V₆+V₇+V₈+…+V₂₁;

N₄=V₂₂+V₂₃+V₂₄+…+V₂₂₇;

N₅=V₂₂₈+V₂₂₉+V₂₃₀+…+VX。

步骤305，获取上一预设时间段内各组对应的已知期望值P₁、P₂、P₃、P₄和P₅，并将相应组的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘，得到各组的第一相乘值，即Q₁、Q₂、Q₃、Q₄和Q₅。能够想象得到的是，当没有上一预设时间段时，P₁、P₂、P₃、P₄和P₅均为0。具体地，如下所示：

Q₁=P₁×exp[age2·ln(0.5)/halflife2]；

Q₂=P₂×exp[age2·ln(0.5)/halflife2]；

Q₃=P₃×exp[age2·ln(0.5)/halflife2]；

Q₄=P₄×exp[age2·ln(0.5)/halflife2]；

Q₅=P₅×exp[age2·ln(0.5)/halflife2]；。

这里的age2值即为预设时间段的值，本实施例中为5秒。

将N₁、N₂、N₃、N₄和N₅分别与1-exp[age2·ln(0.5)/halflife2]相乘得到第二相乘值T₁、T₂、T₃、T₄和T₅，具体地如下所示：

T₁=N₁×{1-exp exp[age2·ln(0.5)/halflife2]}；

T₂=N₂×{1-exp exp[age2·ln(0.5)/halflife2]}；

T₃=N₃×{1-exp exp[age2·ln(0.5)/halflife2]}；

T₄=N₄×{1-exp exp[age2·ln(0.5)/halflife2]}；

T₅=N₅×{1-exp exp[age2·ln(0.5)/halflife2]}。

各组的期望值分别如下所示：

n₁=Q₁+T₁;n₂=Q₂+T₂;n₃=Q₃+T₃;n₄=Q₄+T₄;n₅=Q₅+T₅。具体举例来说，假设上一预设时间段内某一组的已知期望值为100，本预设时间段内相应组的访问频率总和为200，则卡方期望值为200×{1-expexp[age2·ln(0.5)/halflife2]}+100×exp[age2·ln(0.5)/halflife2]。

本实施例中第二半衰期halflife2可以设置为10000。

步骤306，根据公式获取卡方统计值，该实施例中B值为5，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

步骤308，，根据卡方统计值和历史卡方值判断DNS服务器是否出现异常。

根据上述检测方法，通过对IP地址进行卡方检验以检测DNS服务器是否异常，能够在DNS服务器异常出现早期时就检测出来，并发出警报，以使工作人员及时消除DNS服务器的异常。

实施例四

本实施例提供一种DNS服务器异常检测的装置，用于执行实施例一的DNS服务器异常检测的方法。

如图3所示，本实施例的DNS服务器异常检测的装置包括获取模块401和统计模块402。

其中，获取模块401用于获取预设时间段内访问DNS服务器的各检测参数的访问时间和各检测参数的访问频率，检测参数为IP地址或域名；统计模块402用于根据各访问时间和访问频率获取卡方统计值，并根据卡方统计值和历史卡方值判断DNS服务器是否出现异常。

本实施例的DNS服务器异常检测的装置的操作方法与实施例一一致，在此不再赘述。

根据本实施例的DNS服务器异常检测的装置，由于卡方检验能够准确反映出出现较小异常的DNS服务器，即在DNS服务器刚发生异常时就能够检测出来，从而可以使工作人员及时消除异常对DNS服务器的影响，保证DNS服务器质量。

实施例五

本实施例对实施例四的DNS服务器异常检测的装置做进一步补充说明。

如图4所示，本实施例的DNS服务器异常检测的装置还包括分组模块501，该分组模块501用于根据访问频率对检测参数进行分组处理。

具体地，获取模块401包括获取访问频率子模块502和更新子模块503。其中，获取访问频率子模块502用于在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；更新子模块503分别与获取访问频率子模块502和分组模块501连接，用于将访问频率与公式exp[age1·ln(0.5)/halflife1]相乘，并将最终结果加1后更新为访问频率，其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期。

优选地，本实施例的统计模块402具体包括获取卡方统计值子模块504和判断子模块505。其中，获取卡方统计值子模块504与分组模块501连接，用于根据各所述访问时间和所述访问频率获取卡方统计值；判断子模块505与获取卡方统计值子模块504连接，用于当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常。

其中，更为具体地，获取卡方统计值子模块504包括获取总和子单元506、获取期望值子单元507和计算卡方统计值子单元508。其中，获取总和子单元506分别与分组模块501、获取期望值子单元507以及计算卡方统计值子单元508连接，用于将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；获取期望值子单元507分别与获取总和子单元506和计算卡方统计值子单元508连接，用于根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并将各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且第二半衰期大于第一半衰期，age2为预设时间段；计算卡方统计值子单元508与判断子模块505连接，用于根据公式获取卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

本实施例中的第一半衰期和第二半衰期均可以根据实际需要自行设定。

本实施例的DNS服务器异常检测的装置的操作方法与实施例二和实施例三一致，在此不再赘述。

根据本实施例的DNS服务器异常检测的装置，能够在DNS服务器刚发生异常时就能够检测出来，从而可以使工作人员及时消除异常对DNS服务器的影响，保证DNS服务器质量。尤其是对检测参数进行了分组处理，使得卡方统计值更加精确，能够进一步保证及时检测出DNS服务器的异常。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (7)

1.一种DNS服务器异常检测的方法，其特征在于，包括：

获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；

根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常，所述历史卡方值是DNS服务器未出现异常时的卡方统计值；

其中，所述根据各访问时间和各访问频率获取卡方统计值，具体包括：

根据所述访问频率对所述检测参数进行分组处理；

根据所述各访问频率获取各组的访问频率总和；

根据所述各组的访问频率总和以及上一预设时间段内各组的已知期望值获取所述预设时间段内各组的期望值；

根据所述各组的期望值和所述各组的访问频率总和获取所述卡方统计值。

2.根据权利要求1所述的DNS服务器异常检测的方法，其特征在于，所述根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常包括：

当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常并发出报警信息。

3.根据权利要求1所述的DNS服务器异常检测方法，其特征在于，获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率包括：

在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；

将访问频率与公式exp[age1·ln(0.5)/halflife1]相乘，并将最终结果加1后更新为访问频率；

其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期。

4.根据权利要求1所述的DNS服务器异常检测的方法，其特征在于，根据所述访问频率对所述检测参数进行分组处理包括:

将所述访问频率最高的检测参数划分为第一组；

将所述访问频率位于第2位至第5位的检测参数划分为第二组；

将所述访问频率位于第6位至21位的检测参数划分为第三组；

将所述访问频率位于第22位至第227位的检测参数划分为第四组；

将剩余的检测参数划分为第五组。

5.根据权利要求4所述的DNS服务器异常检测的方法，其特征在于，根据所述各所述访问频率获取各组的访问频率总和包括:

将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；

根据所述各组的访问频率总和以及上一预设时间段内各组的已知期望值获取本预设时间段内各组的期望值包括：

根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据所述各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且所述第二半衰期大于所述第一半衰期，所述age2为预设时间段；

所述根据所述各组的期望值和所述各组访问频率总和获取所述卡方统计值包括：

根据公式获取所述卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。

6.一种DNS服务器异常检测的装置，其特征在于，包括：

获取模块，用于获取预设时间段内访问DNS服务器的各检测参数的访问时间和各所述检测参数的访问频率，所述检测参数为IP地址或域名；

统计模块，用于根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值判断所述DNS服务器是否出现异常，所述历史卡方值是DNS服务器未出现异常时的卡方统计值；

所述统计模块包括：

获取卡方统计值子模块，用于根据各所述访问时间和所述访问频率获取卡方统计值；

判断子模块，用于当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS服务器出现异常；

其中，所述获取卡方统计值子模块，包括：

分组模块，用于根据所述访问频率对所述检测参数进行分组处理；

获取总和子单元，用于根据所述各访问频率获取各组的访问频率总和；

获取期望值子单元，用于根据所述各组的访问频率总和以及上一预设时间段内各组的已知期望值获取所述预设时间段内各组的期望值；

计算卡方统计值子单元，用于根据所述各组的期望值和所述各组的访问频率总和获取所述卡方统计值。

7.根据权利要求6所述的DNS服务器异常检测的装置，其特征在于，

所述获取模块包括：

获取访问频率子模块，用于在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频率；

更新子模块，用于将访问频率与公式exp[age1·ln(0.5)/halflife1]相乘，并将最终结果加1后更新为访问频率，其中，age1为同一检测参数本次出现距离上一次出现的时间间隔，halflife1为第一半衰期；

所述获取卡方统计值子模块包括：

获取总和子单元，用于将每组中的各检测参数对应的访问频率相加分别得到每组的访问频率总和；

获取期望值子单元，用于根据上一预设时间段内各组对应的已知期望值分别与公式exp[age2·ln(0.5)/halflife2]相乘获取各组的第一相乘值，并根据所述各组的访问频率总和分别与公式1-exp[age2·ln(0.5)/halflife2]相乘获取各组的第二相乘值，根据各组第一相乘值与第二相乘值相加获取各组的卡方期望值，其中，halflife2为第二半衰期且所述第二半衰期大于所述第一半衰期，所述age2为预设时间段；

计算卡方统计值子单元，用于根据公式获取所述卡方统计值，其中χ代表卡方统计值，B代表组数，N_i代表第i组的访问频率总和，n_i代表第i组的期望值。