CN103905456A

CN103905456A - 基于熵模型的dns反解攻击的检测系统和方法

Info

Publication number: CN103905456A
Application number: CN201410138182.9A
Authority: CN
Inventors: 邹福泰; 谷宇昊; 易平; 李建华
Original assignee: Shanghai Jiaotong University
Current assignee: Shanghai Jiaotong University
Priority date: 2014-04-08
Filing date: 2014-04-08
Publication date: 2014-07-02
Anticipated expiration: 2034-04-08
Also published as: CN103905456B

Abstract

本发明公开了一种基于熵模型的DNS反解攻击的检测系统，包括DNS查询日志记录模块、熵计算模块和攻击检测模块；同时，利用该检测系统实现了DNS的反解攻击检测：首先，DNS查询日志记录模块记录一段时间内的DNS查询动作，DNS查询动作包括查询时间、源IP地址和查询内容；然后，在熵计算模块中，根据查询时间按照时间间隔将DNS查询动作分为多个时间片；并计算各个时间片内的DNS查询动作的熵值；最后，攻击检测模块根据各个时间片内的DNS查询动作的熵值，判断是否发生攻击行为并检测攻击行为的类型。本发明利用连续时间片的DNS查询动作的熵值的变化，实现了快速实时地检测，从而提高了网络流量检测的效率。

Description

基于熵模型的DNS反解攻击的检测系统和方法

技术领域

本发明涉及计算机网络安全领域流量攻击的检测系统和方法，尤其涉及一种针对DNS反解攻击的检测系统和方法。

背景技术

计算机网络是当今社会最为重要的信息设施，随着社会的高速发展，人们对计算机网络安全的要求也越来越高。因此专门面向网络流量检测的网络安全监测系统越来越受到关注。异常流量检测主要是通过将当前网络流量的行为描述与网络流量正常行为的描述进行对比，分析和发现网络或系统中可能出现的异常行为，并向管理员提出警告，或主动做出反应。网络的异常行为通常表现为通过流量的异常，例如由特定的攻击程序或蠕虫爆发所引起的突发流量行为。这种流量异常行为的特点是发作突然、先兆特征未知或比较隐蔽，因此实时监测与响应是防范这类攻击的重要手段。

异常检测的核心问题是如何实现流量正常行为的描述、检测的实时性、获得信息的全面性和反应的灵敏性，因而使系统设计和实现难度较大。

DNS（Domain Name System，域名系统）是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的个分布式数据库，能够使人更便的访问互联网，而不用去记住能够被机器直接读取的IP数串。从大的方向上讲，DNS查询有两种查询模式：一种是DNS正向解析，客户端给出一个域名的查询请求，例如www.example.com，服务器返回其对应的IP地址，例如1.2.3.4；而相对的另一种是DNS反向解析，即rDNS，则是将IP地址解析成其对应域名。

目前，不少服务使用rDNS来实现网域的认证工作，即根据IP返回的域名来判断该IP是否是其需求服务的合法用户，比如邮件系统的认证、SSH（Secure Shell）连接的认证等。

但是现实中，rDNS的配置通常被ISP（Internet Service Provider信息服务提供商）忽略，从而导致rDNS解析时间长，并且大多解析失效。这样，当利用rDNS解析进行攻击时，由于服务端需要更多的资源来完成解析，攻击端就可以用同样的资源来完成影响更严重的攻击。

因此，本领域的技术人员致力于开发一种基于熵模型的DNS反解攻击的检测系统和方法。

发明内容

有鉴于现有技术的上述缺陷，本发明所要解决的技术问题是提供一种基于熵模型的DNS反解攻击的检测系统和方法。

在信息论中，熵被用来衡量一个随机变量出现的期望值。它代表了在被接收之前，信号传输过程中损失的信息量。网络流量的某些参数的熵，在不同的网络状况下会有不同的变化。

因此，本发明提供了一种基于熵模型的DNS反解攻击的检测系统，其特征在于，包括DNS查询日志记录模块、熵计算模块和攻击检测模块；

所述DNS查询日志记录模块用于记录DNS查询动作，所述DNS查询动作包括查询时间、源IP地址和查询内容；

所述熵计算模块用于计算时间片内的所述源IP地址的熵值和所述查询内容的熵值；

所述攻击检测模块用于根据一段时间内的所述源IP地址的熵值和所述查询内容的熵值以确定是否发生攻击以及确定攻击行为的类型。

一种基于熵模型的DNS反解攻击的检测方法，其特征在于，包括：

首先，所述DNS查询日志记录模块记录一段时间内的所述DNS查询动作，所述DNS查询动作包括查询时间、源IP地址和查询内容；

然后，在所述熵计算模块中，按照时间间隔将所述DNS查询动作分为多个时间片；并计算各个所述时间片内的所述DNS查询动作的熵值；

最后，所述攻击检测模块根据各个所述时间片内的所述DNS查询动作的熵值，判断是否发生攻击行为并检测攻击行为的类型。

进一步地，所述DNS查询动作的熵值包括所述源IP地址的熵值和所述查询内容的熵值。

进一步地，所述熵计算模块是按照如下步骤计算所述DNS查询动作的熵值的：

首先，所述熵计算模块将所述DNS查询动作根据所述查询时间按照所述时间间隔分成多个时间片；

其次，按照各个所述时间片解析所述源IP地址和所述查询内容；

然后，按照所述源IP地址进行分组，同时，在所述源IP地址的分组基础上对所述查询内容进行分组；

最后，计算各个所述时间片内的所述DNS查询动作的熵值，并加入熵值序列。

进一步地，所述攻击检测模块判断是否发生所述攻击行为是按照所述熵值序列的顺序进行的，包括：

步骤一，读取所述熵值序列中当前时间片的所述DNS查询动作的熵值；

步骤二，将所述当前时间片的所述DNS查询动作的熵值与前一时间片的所述DNS查询动作的熵值进行差值计算，得到第一差值，并将所述第一差值与系统平均熵值进行差值运算，得到第二差值；

步骤三，所述第二差值与系统平均差值进行除法运算，得到所述特征值；

步骤四，将所述特征值与阈值进行比较：

当所述特征值大于阈值时，则判断发生攻击行为，并发出警报；

当所述特征值小于所述阈值，则判断没有发生攻击行为，将所述第一差值作为所述系统平均差值，并将当前时间片的所述DNS查询动作的熵值作为系统平均熵值；

步骤五，返回步骤一，继续监测所述熵值序列中下一时间片的所述DNS查询动作的熵值。

进一步地，所述特征值包括所述源IP地址的特征值和所述查询内容的特征值；

所述第一差值包括所述源IP地址的第一差值和所述查询内容的第一差值；

所述第二差值包括所述源IP地址的第二差值和所述查询内容的第二差值；

所述系统平均差值包括所述源IP地址的系统平均差值和所述查询内容的系统平均差值；

所述系统平均熵值包括所述源IP地址的系统平均熵值和所述查询内容的系统平均熵值；

所述阈值包括所述源IP地址的阈值和所述查询内容的阈值。

进一步地，所述攻击行为的类型包括SSH Attack、DNS放大攻击、Host Search和DNS ddos Attack；其中，SSH Attack是SSH字典攻击；Host Search是主机扫描攻击；DNS ddos Attack是DNS拒绝服务攻击。

本发明的基于熵模型的DNS反解攻击的检测系统和方法利用连续时间片的DNS查询动作的熵值的变化，实现快速实时地检测，从而提高网络流量检测的效率。

以下将结合附图对本发明的构思、具体结构及产生的技术效果作进一步说明，以充分地了解本发明的目的、特征和效果。

附图说明

图1是本发明的基于熵模型的DNS反解攻击检测系统的结构示意图；

图2是本发明的基于熵模型的DNS反解攻击检测方法的熵计算模块的一个较佳实施例的计算示意图；

图3是本发明的基于熵模型的DNS反解攻击检测方法的攻击检测模块的针对源IP地址进行检测的流程图；

图4是本发明的基于熵模型的DNS反解攻击检测方法的攻击检测模块的针对查询内容进行检测的流程图。

具体实施方式

下面结合附图对本发明的实施例作详细说明，本实施例在以本发明技术方案前提下进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。

本发明的基于熵模型的DNS反解攻击检测系统的结构包括DNS查询日志记录模块、熵计算模块和攻击检测模块，具体如图1所示，DNS查询日志模块包括若干个rDNS query（rDNS查询）子模块；DNS查询日志记录模块、熵计算模块和攻击检测模块自上向下，每一个模块接受上一个模块的结果作为输入，同时作为下一个模块提供输出。

其中，

DNS查询日志记录模块用于记录DNS查询动作，DNS查询动作包括查询时间、源IP地址ipsrc和查询内容qname；

熵计算模块用于计算某时间片内的源IP地址ipsrc的熵值和查询内容qname的熵值；

攻击检测模块用于根据一端时间内的熵的序列，判断是否发生攻击，并且检测攻击类型。

本发明的基于熵模型的DNS反解攻击检测方法包括:

首先，DNS查询日志记录模块记录DNS查询动作，DNS查询动作包括查询时间、源IP地址ipsrc和查询内容qname；

然后，在熵计算模块中，按照时间间隔将所述DNS查询动作分为多个时间片；在本发明的较佳实施例中，以1分钟作为时间间隔；并计算各个时间片内的DNS查询动作的熵值，DNS查询动作的熵值包括源IP地址的熵值h1=Entropy(ipsrc)和查询内容qname的熵值h2=Entropy(qname)；

最后，攻击检测模块根据所述时间片内的DNS查询动作的熵值，判断是否发生攻击行为并检测攻击行为的类型。

其中，熵计算模块计算各个时间片内源IP地址ipsrc和查询内容qname的熵值，其计算方法包括：

（1）、将DNS查询动作的根据查询时间按照时间间隔分为多个时间片，在本发明的一个较佳实施例中，将DNS查询动作分为了2个时间片：t1和t2，具体如图2所示；

（2）、将各个时间片内的源IP地址ipsrc和查询内容qname解析出来，在本实施例中：

t1时间片内，源IP地址的ipsrc包括2个ips1和1个ips2；查询内容qname包括q1、q2和q3；

t2时间片内，源IP地址的ipsrc包括1个ip1和2个ip2；查询内容qname包括q1和q3；

t1和t2时间片内，源IP地址ipsrc和查询内容qname的对应关系如图2所示；

（3）、将不同的源IP地址ipsrc分为不同的组，统计各组的数量，同时，按照源IP地址ipsrc的分组，对不同的查询内容qname进行分组，统计各组的数量；

（4）、根据熵的定义计算各个时间片内源IP地址ipsrc的熵值和查询内容qname的熵值，加入熵值序列中，在本实施例中：

t1时间片内，源IP地址ipsrc的熵值为ipsrc entropy1，查询内容qname的熵值为qname entropy1；

t2时间片内，源IP地址ipsrc的熵值为ipsrc entropy2，查询内容qname的熵值为qname entropy2。

本发明的基于熵模型的DNS反解攻击检测方式中攻击检测模块是根据熵值序列来判断某一时间片内是否方式攻击行为的，其具体检测分为源IP地址ipsrc的熵值检测和查询内容qname的熵值检测。

其中，根据源IP地址ipsrc的熵值的检测流程具体如图3所示，源IP地址ipsrc的熵值序列为：ipsrc entropy1、ipsrc entropy2、ipsrc entropy3和ipsrc entropy4。检测具体包括：

步骤一、读取当前时间片的源IP地址ipsrc的熵值；

步骤二、将当前时间片的源IP地址ipsrc的熵值与前一时间片的源IP地址ipsrc的熵值进行差值运算，得到源IP地址ipsrc的第一差值；将源IP地址ipsrc的第一差值与源IP地址ipsrc的系统平均熵值进行差值运算，得源IP地址ipsrc的第二差值；

步骤三、将源IP地址ipsrc的第二差值与源IP地址ipsrc的系统平均差值进行除法运算，得到源IP地址ipsrc的特征值；

步骤四、若源IP地址ipsrc的特征值大于源IP地址ipsrc的阈值，则警报，警报提供源IP熵值的剧烈上升或下降；反之则将源IP地址ipsrc的第一差值汇入源IP地址ipsrc的系统平均差值，将当前时间片的源IP地址ipsrc的熵值汇入源IP地址ipsrc的系统平均熵值；

步骤五、返回步骤一，继续监测下一个时间片的源IP地址ipsrc的熵值。

其中，根据查询内容qname的熵值的检测流程具体如图4所示，查询内容qname的熵值序列为：qname entropy1、qname entropy2、qname entropy3和qname entropy4。检测具体包括：

步骤一、读取当前时间片的查询内容qname的熵值；

步骤二、将当前时间片的查询内容qname的熵值与前一时间片的查询内容qname的熵值进行差值运算，得到查询内容qname的第一差值；将查询内容qname的第一差值与查询内容qname的系统平均熵值进行差值运算，得查询内容qname的第二差值；

步骤三、将查询内容qname的第二差值与查询内容qname的系统平均差值进行除法运算，得到查询内容qname的特征值；

步骤四、若查询内容qname的特征值大于查询内容qname的阈值，则警报，警报提供查询内容熵值的剧烈上升或下降；反之则将查询内容qname的第一差值汇入查询内容qname的系统平均差值，将当前时间片的查询内容qname的熵值汇入查询内容qname的系统平均熵值；

步骤五、返回步骤一，继续监测下一个时间片的查询内容qname的熵值。

根据警报内容的不同，本发明可以判断以下几类的攻击行为：

第一类，警报内容显示源IP地址的熵值剧烈下降，同时查询内容的熵值也剧烈下降：本次攻击为SSH Attack或者是DNS放大攻击；

第二类，警报内容显示源IP地址的熵值剧烈下降，但查询内容的熵值却剧烈上升：本次攻击为Host Search；

第三类，警报内容显示源IP地址的熵剧烈上升，而查询内容的熵值剧烈上升或下降：本次攻击为DNS ddos Attack；

对于第一类情况，检测系统可以给出可能发生问题的源IP地址列表，根据源IP地址是否在当前网络系统内部，可继续判明攻击类型：

（1）、当源IP地址位于当前网络系统内部时，攻击表现为SSH Attack；

（2）、当源IP地址位于当前网络系统外部时，攻击表现为DNS放大攻击。

以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。

Claims

1.一种基于熵模型的DNS反解攻击的检测系统，其特征在于，包括DNS查询日志记录模块、熵计算模块和攻击检测模块；

所述攻击检测模块用于所述源IP地址的熵值和所述查询内容的熵值以确定是否发生攻击以及确定攻击行为的类型。

2.使用如权利要求1所述的基于熵模型的DNS反解攻击的检测系统的基于熵模型的DNS反解攻击的检测方法，其特征在于，包括：

3.如权利要求2所述的基于熵模型的DNS反解攻击的检测方法，其中，所述DNS查询动作的熵值包括所述源IP地址的熵值和所述查询内容的熵值。

4.如权利要求3所述的基于熵模型的DNS反解攻击的检测方法，其中，所述熵计算模块是按照如下步骤计算所述DNS查询动作的熵值的：

5.如权利要求4所述的基于熵模型的DNS反解攻击的检测方法，其中，所述攻击检测模块判断是否发生所述攻击行为是按照所述熵值序列的顺序进行的，包括：

步骤四，将所述特征值与阈值进行比较：

6.如权利要求5所述的DNS反解攻击的检测方法，其中，

所述特征值包括所述源IP地址的特征值和所述查询内容的特征值；

所述阈值包括所述源IP地址的阈值和所述查询内容的阈值。

7.如权利要求6所述的DNS反解攻击的检测方法，其中，所述攻击行为的类型包括SSH Attack、DNS放大攻击、Host Search和DNS ddos Attack。