CN104994117A - 一种基于dns解析数据的恶意域名检测方法及系统 - Google Patents

一种基于dns解析数据的恶意域名检测方法及系统 Download PDF

Info

Publication number
CN104994117A
CN104994117A CN201510477268.9A CN201510477268A CN104994117A CN 104994117 A CN104994117 A CN 104994117A CN 201510477268 A CN201510477268 A CN 201510477268A CN 104994117 A CN104994117 A CN 104994117A
Authority
CN
China
Prior art keywords
domain name
resolution data
malice
dns resolution
dns
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201510477268.9A
Other languages
English (en)
Inventor
马旸
蔡冰
俞宙
王林汝
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
JIANGSU BRANCH NATIONAL COMPUTER NETWORK AND INFORMATION SECURITY MANAGEMENT CENTER
Original Assignee
JIANGSU BRANCH NATIONAL COMPUTER NETWORK AND INFORMATION SECURITY MANAGEMENT CENTER
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by JIANGSU BRANCH NATIONAL COMPUTER NETWORK AND INFORMATION SECURITY MANAGEMENT CENTER filed Critical JIANGSU BRANCH NATIONAL COMPUTER NETWORK AND INFORMATION SECURITY MANAGEMENT CENTER
Priority to CN201510477268.9A priority Critical patent/CN104994117A/zh
Publication of CN104994117A publication Critical patent/CN104994117A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于DNS解析数据的恶意域名检测方法及系统，包括以下步骤：获取DNS解析数据、对DNS解析数据进行数据清洗、根据已知的恶意域名网站黑、白名单，过滤掉恶意域名与非恶意域名及根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名，本发明基于HADOOP大数据分析平台，可以全量分析用户的访问域名情况，挖掘出潜在的恶意域名。并且，进一步通过分析可以确定恶意程序服务器IP地址，可以针对IP地址进行封杀，还可以找出受恶意程序感染的肉鸡IP，及时提醒用户杀毒，遏制恶意程序的扩散。

Description

一种基于DNS解析数据的恶意域名检测方法及系统
技术领域：
本发明涉及网络安全应用领域，尤其涉及一种基于DNS解析数据的恶意域名检测方法及系统。
背景技术：
目前，恶意域名已经成为国内乃至全世界的网络安全领域最为关注的危害之一。恶意域名也叫恶意网站，是指该网站利用浏览器或者应用软件的漏洞，嵌入恶意代码，在用户不知情的情况下，对用户的机器进行篡改或破坏的网站。对于仿冒其他网站比如银行网站、电子商务网站的，虽然未对用户的机器进行篡改或破坏，但是也被定义为恶意域名。
恶意域名能够形成一个庞大的网络体系，通过网络来控制受感染的系统，同时不同地造成网络危害，如更快地传播木马蠕虫、短时间内窃取大量敏感信息、抢占系统资源进行非法目的牟利、发起大范围的DDoS攻击等，给危害追踪和损失抑制带来巨大的麻烦。
传统恶意域名检测主要采用恶意程序逆向、DPI（深度包检测）等技术。逆向分析是恶意程序分析的常用方法之一，在揭示恶意程序意图以及行为方面发挥着其他方法无法比拟的作用。逆向分析将可执行恶意程序反汇编，通过反汇编代码来理解其代码功能，从启动函数、函数参数传递、数据结构、控制语句、API等方面归纳总结恶意程序反汇编代码的一般规律。DPI技术即当IP数据包、TCP或UDP数据流通过基于DPI技术的系统时，该系统通过深入读取IP包载荷的内容来对OSI七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的策略对流量进行操作通过特征匹配的方法，发现恶意程序的行为特征。传统的技术手段恶意程序逆向、DPI均存在实施成本高的弊端，重要的是，对未知的恶意程序无能为力。
发明内容：
针对上述问题，本发明要解决的技术问题是提供一种基于DNS解析数据的恶意域名检测方法及系统。
本发明的一种基于DNS解析数据的恶意域名检测方法，包括以下步骤：
a.获取DNS解析数据；
b.对DNS解析数据进行数据清洗，将统计没有影响的字段去掉，保留或修改影响统计结果的字段；
c.根据已知的恶意域名网站黑、白名单，过滤掉恶意域名与非恶意域名；
d.根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名。
优选的，所述DNS解析数据包括：日期、时间、访问信息、请求IP信息、请求域名信息、解析类型和解析IP信息。
优选的，所述数据清洗是基于HADOOP分布式计算，按照DNS协议字段对海量DNS解析数据进行解析、清洗、入库，清洗后的DNS解析数据包括请求域名、CNAME、请求IP信息、解析IP信息、访问时间，所述访问时间精确到秒。
优选的，所述的已知的恶意域名网站黑、白名单包括ALEX排名前10000的域名及其子域名以及来自国内知名安全厂商的黑白名单库。
优选的，所述根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名，具体包括：域名字符长度大于X个字符；域名由数字和字母混杂无序组成；域名解析具有时间上的突发性。
优选的，所述解析日志时间属性包括设置域名的活跃时间段，按照设定的时间单位对域名的活跃度分布进行统计。
本发明的一种基于DNS解析数据的恶意域名检测系统，包括：
数据采集单元，用于获取DNS解析数据；
数据清洗单元，用于对DNS数据进行清洗，将统计没有影响的字段去掉，保留或修改影响统计结果的字段；
黑白名单比对单元，通过特征对比，过滤掉恶意域名与非恶意域名；
域名分析单元，用于根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名。
优选的，所述数据采集单元包括DNS采集服务器、镜像交换机以及光电转换设备。
本发明有益效果：基于HADOOP大数据分析平台，可以全量分析用户的访问域名情况，挖掘出潜在的恶意域名。并且，进一步通过分析可以确定恶意程序服务器IP地址，可以针对IP地址进行封杀，此外，还可以找出受恶意程序感染的肉鸡IP，及时提醒用户杀毒，遏制恶意程序的扩散。
附图说明：
为了易于说明，本发明由下述的具体实施及附图作以详细描述。
图1是本发明基于DNS数据的恶意域名分析方法的业务流程图；
图2是本发明基于DNS数据的恶意域名分析方法的数据流程图；
图3是本发明基于DNS数据的恶意域名分析方法的数据清洗的流程示意图；
图4是本发明基于DNS数据的恶意域名分析系统的结构示意图。
具体实施方式：
为使本发明的目的、技术方案和优点更加清楚明了，下面通过附图中示出的具体实施例来描述本发明。但是应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。
如图1-4所示，本实施例的一种基于DNS解析数据的恶意域名检测方法，包括以下步骤：
a.获取DNS解析数据；
b.对DNS解析数据进行数据清洗，将统计没有影响的字段去掉，保留或修改影响统计结果的字段；
c.根据已知的恶意域名网站黑、白名单，过滤掉恶意域名与非恶意域名；
d.根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名。
本实施例步骤a中，DNS解析数据包括：日期、时间、访问信息、请求IP信息、请求域名信息、解析类型和解析IP信息。
本实施例步骤b中，数据清洗是基于HADOOP分布式计算，按照DNS协议字段对海量DNS解析数据进行解析、清洗、入库，将日志中对于统计没有影响的字段去掉，保留或修改影响统计结果的字段。具体算法如下图2所示。
将DNS解析数据提交到实现Mapper接口类的Map方法。基于HADOOP分布式计算，Map方法在多台机器上并行计算，Map方法的主要功能是根据输入的日志信息，将有效的字段输出。输出的的格式为 KEY+\t+VALUE。
清洗前的DNS解析数据包括：日期、时间、访问信息、请求IP信息、请求域名信息、解析类型、解析IP信息；
清洗后的DNS解析数据包括：请求域名、CNAME、请求IP信息、解析IP信息及访问时间，其中访问时间精确到秒。
在本实施例步骤c中，黑白名单比对单元包括ALEX排名前10000的域名及其子域名以及来自国内知名安全厂商的黑白名单库，主要实现对海量域名的初步过滤，降低样本率。
在本实施例步骤d中，通过对域名字符特征以及访问特征进行分析，输出疑似恶意域名。具体包括：
模式一：域名字符长度大于X个字符。为了便于用户的访问，正常域名一般不会过长而且具有较为明确的含义，但恶意域名一般不会被用户主动访问，其为了避免与合法域名产生冲突，通常会由黑客编制特定算法生成，经过对大量恶意域名进行长度特征统计，将第一个判别模式设为为长度大于X的域名。
模式二：域名由数字和字母混杂无序组成。通过长期对域名样本特征统计发现，正常域名大部分由纯字母构成，即使同时包含字母和数字字符，其组织规则也比较规整，数字和字母通常分开排列，具有较明确的含义，如163.com、zhibo8.com等。但恶意域名具有生成随机性，很大一部分恶意域名会出现字符和数字混杂出现的情况。
模式三：域名解析具有时间上的突发性。域名在短时间内被集中访问，而在其他时间内被请求解析次数极少，我们认为该域名在解析上具有时间上的突发性。处于隐藏自身的考虑，大部分恶意域名通常存活时间只有几分钟到几个小时，被请求解析次数分布非常不均匀，恶意域名被黑客控制者所控制大部分时间是处于未激活状态，及解析数量几乎为0，只有当黑客发起攻击指令，“肉鸡”才会产生大量恶意域名的DNS解析请求。
解析日志时间属性，具体包括设置域名的活跃时间段，按照设定的时间单位对域名的活跃度分布进行统计，活跃度越高，该域名成为恶意域名的几率越大。
根据模式三的理论，我们建立的相应的数学模型。一般情况下，恶意域名的活跃事件约为半小时，也即半小时后该域名通常被弃用。假设当前待分析域名为Y，设置10分钟为一个时间单位，对该域名的活跃度分布进行统计，每个时间单位表示为，一天分为144个时间单位，即从T1到T144，用COUNT（Y，Ti）表示Ti时间段内域名Y被请求解析的次数，在计算COUNT（Y，Ti）是综合考虑Ti-1，Ti，Ti+1三个时间单位的解析次数，用∑COUNT（Y，Ti）表示域名Y一天内总共被请求解析的次数，最后用Distribute（Y）来表示域名Y在短时间内的活跃程序，模式三所对应的数据公式如下：
Distribute（Y）=Max（Distribute（Y，Ti）=Max（SUM(COUNT（Y，Ti-1）+ COUNT（Y，Ti）+ COUNT（Y，Ti+1）)）/∑k=1144∑COUNT（Y，Tk）,i∈[1,144]
根据定义可知，当Distribute（Y）取值越大表明域名Y在短时间内活跃程度越高，成为恶意域名的几率也越大。
与本发明方法实施例相对应，提供了一种基于DNS解析数据的恶意域名检测系统，包括：
数据采集单元，用于获取DNS解析数据；
数据清洗单元，用于对DNS数据进行清洗，将统计没有影响的字段去掉，保留或修改影响统计结果的字段；
黑白名单比对单元，通过特征对比，过滤掉恶意域名与非恶意域名；
域名分析单元，用于根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名。
在本实施例中，数据采集单元包括DNS采集服务器、镜像交换机以及光电转换设备。
本发明中方法的实施例采用递进的方式描述，对于系统的实施例而言，由于其基本相似于方法的实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (8)

1.一种基于DNS解析数据的恶意域名检测方法，其特征在于：包括以下步骤：
a.获取DNS解析数据；
b.对DNS解析数据进行数据清洗，将统计没有影响的字段去掉，保留或修改影响统计结果的字段；
c.根据已知的恶意域名网站黑、白名单，过滤掉恶意域名与非恶意域名；
d.根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名。
2.根据权利要求1所述的一种基于DNS解析数据的恶意域名检测方法，其特征在于：所述DNS解析数据包括：日期、时间、访问信息、请求IP信息、请求域名信息、解析类型和解析IP信息。
3.根据权利要求1所述的一种基于DNS解析数据的恶意域名检测方法，其特征在于：所述数据清洗是基于HADOOP分布式计算，按照DNS协议字段对海量DNS解析数据进行解析、清洗、入库，清洗后的DNS解析数据包括请求域名、CNAME、请求IP信息、解析IP信息、访问时间，所述访问时间精确到秒。
4.根据权利要求1所述的一种基于DNS解析数据的恶意域名检测方法，其特征在于：所述的已知的恶意域名网站黑、白名单包括ALEX排名前10000的域名及其子域名以及来自国内知名安全厂商的黑白名单库。
5.根据权利要求1所述的一种基于DNS解析数据的恶意域名检测方法，其特征在于：所述根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名，具体包括：域名字符长度大于X个字符；域名由数字和字母混杂无序组成；域名解析具有时间上的突发性。
6.根据权利要求1所述的一种基于DNS解析数据的恶意域名检测方法，其特征在于：所述解析日志时间属性包括设置域名的活跃时间段，按照设定的时间单位对域名的活跃度分布进行统计。
7.一种基于DNS解析数据的恶意域名检测系统，其特征在于：包括：
    数据采集单元，用于获取DNS解析数据；
数据清洗单元，用于对DNS数据进行清洗，将统计没有影响的字段去掉，保留或修改影响统计结果的字段；
黑白名单比对单元，通过特征对比，过滤掉恶意域名与非恶意域名；
域名分析单元，用于根据域名字符串特征以及解析日志时间属性，判断域名是否为恶意域名，输出疑似恶意域名。
8.根据权利要求7所述的一种基于DNS解析数据的恶意域名检测系统，其特征在于：所述数据采集单元包括DNS采集服务器、镜像交换机以及光电转换设备。
CN201510477268.9A 2015-08-07 2015-08-07 一种基于dns解析数据的恶意域名检测方法及系统 Pending CN104994117A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510477268.9A CN104994117A (zh) 2015-08-07 2015-08-07 一种基于dns解析数据的恶意域名检测方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510477268.9A CN104994117A (zh) 2015-08-07 2015-08-07 一种基于dns解析数据的恶意域名检测方法及系统

Publications (1)

Publication Number Publication Date
CN104994117A true CN104994117A (zh) 2015-10-21

Family

ID=54305868

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510477268.9A Pending CN104994117A (zh) 2015-08-07 2015-08-07 一种基于dns解析数据的恶意域名检测方法及系统

Country Status (1)

Country Link
CN (1) CN104994117A (zh)

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105610830A (zh) * 2015-12-30 2016-05-25 山石网科通信技术有限公司 域名的检测方法及装置
CN105827594A (zh) * 2016-03-08 2016-08-03 北京航空航天大学 一种基于域名可读性及域名解析行为的可疑性检测方法
CN106101104A (zh) * 2016-06-15 2016-11-09 国家计算机网络与信息安全管理中心 一种基于域名解析的恶意域名检测方法及系统
CN106411965A (zh) * 2016-12-22 2017-02-15 北京知道创宇信息技术有限公司 确定提供仿冒服务的网络服务器的方法、设备及计算设备
CN106657025A (zh) * 2016-11-29 2017-05-10 神州网云（北京）信息技术有限公司 网络攻击行为检测方法及装置
CN106685951A (zh) * 2016-12-26 2017-05-17 北京奇虎科技有限公司 一种基于域名规则的网络流量过滤系统与方法
CN107172006A (zh) * 2017-03-22 2017-09-15 深信服科技股份有限公司 检测无线网络恶意性的方法及装置
CN107786575A (zh) * 2017-11-11 2018-03-09 北京信息科技大学 一种基于dns流量的自适应恶意域名检测方法
CN107835149A (zh) * 2017-09-13 2018-03-23 杭州安恒信息技术有限公司 基于dns流量分析的网络窃密行为检测方法以及装置
CN108200054A (zh) * 2017-12-29 2018-06-22 北京奇安信科技有限公司 一种基于dns解析的恶意域名检测方法及装置
CN108206814A (zh) * 2016-12-20 2018-06-26 腾讯科技（深圳）有限公司 一种防御dns攻击的方法、装置及系统
CN108270761A (zh) * 2017-01-03 2018-07-10 中国移动通信有限公司研究院 一种域名合法性检测方法及装置
CN108418780A (zh) * 2017-02-10 2018-08-17 阿里巴巴集团控股有限公司 Ip地址的过滤方法及装置、系统、dns服务器
CN108462675A (zh) * 2017-02-20 2018-08-28 沪江教育科技（上海）股份有限公司 一种网络访问识别方法及系统
CN109688165A (zh) * 2019-02-26 2019-04-26 北京微步在线科技有限公司 一种挖掘恶意域名的方法和装置
TWI677803B (zh) * 2018-05-09 2019-11-21 中華電信股份有限公司 可疑網域之偵測方法、閘道裝置及非暫態電腦可讀取媒體
CN110519099A (zh) * 2019-08-30 2019-11-29 浙江岩华文化传媒有限公司 内网资源监测方法、装置、电子设备及计算机可读介质
WO2020019510A1 (zh) * 2018-07-26 2020-01-30 平安科技（深圳）有限公司 一种信息处理方法、终端及计算机可读存储介质
CN112532636A (zh) * 2020-12-02 2021-03-19 赛尔网络有限公司 一种基于T-Pot蜜罐和主干网流量的恶意域名检测方法及装置
CN113141370A (zh) * 2021-04-30 2021-07-20 国家计算机网络与信息安全管理中心山西分中心 一种内部网络流量的恶意dns隧道识别方法
CN113645240A (zh) * 2021-08-11 2021-11-12 中电积至(海南)信息技术有限公司 一种基于图结构的恶意域名群落挖掘方法
CN113691491A (zh) * 2020-05-18 2021-11-23 安碁资讯股份有限公司 域名系统中恶意域名的检测方法与检测装置
WO2024036822A1 (zh) * 2022-08-16 2024-02-22 天翼安全科技有限公司 一种恶意域名确定方法、装置、设备及介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120087393A (ko) * 2011-01-28 2012-08-07 주식회사 정보보호기술 Ｄｎｓ 패킷을 이용한 실시간 비정상 행위 탐지 방법
US8555388B1 (en) * 2011-05-24 2013-10-08 Palo Alto Networks, Inc. Heuristic botnet detection
CN103581363A (zh) * 2013-11-29 2014-02-12 杜跃进 对恶意域名和非法访问的控制方法及装置
CN103685230A (zh) * 2013-11-01 2014-03-26 上海交通大学 僵尸网络恶意域名的分布式协同检测系统和方法
CN104580249A (zh) * 2015-01-28 2015-04-29 北京润通丰华科技有限公司 一种基于日志的僵木蠕网络分析方法和系统
CN104601557A (zh) * 2014-12-29 2015-05-06 广东顺德中山大学卡内基梅隆大学国际联合研究院 一种基于软件定义网络的恶意网站防护方法及系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120087393A (ko) * 2011-01-28 2012-08-07 주식회사 정보보호기술 Ｄｎｓ 패킷을 이용한 실시간 비정상 행위 탐지 방법
US8555388B1 (en) * 2011-05-24 2013-10-08 Palo Alto Networks, Inc. Heuristic botnet detection
CN103685230A (zh) * 2013-11-01 2014-03-26 上海交通大学 僵尸网络恶意域名的分布式协同检测系统和方法
CN103581363A (zh) * 2013-11-29 2014-02-12 杜跃进 对恶意域名和非法访问的控制方法及装置
CN104601557A (zh) * 2014-12-29 2015-05-06 广东顺德中山大学卡内基梅隆大学国际联合研究院 一种基于软件定义网络的恶意网站防护方法及系统
CN104580249A (zh) * 2015-01-28 2015-04-29 北京润通丰华科技有限公司 一种基于日志的僵木蠕网络分析方法和系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
李青山、陈钟: "Domain-flux僵尸网络域名检测", 《计算机工程与设计》 *
胡蓓蓓: "异常DNS行为检测", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105610830A (zh) * 2015-12-30 2016-05-25 山石网科通信技术有限公司 域名的检测方法及装置
CN105827594B (zh) * 2016-03-08 2018-11-27 北京航空航天大学 一种基于域名可读性及域名解析行为的可疑性检测方法
CN105827594A (zh) * 2016-03-08 2016-08-03 北京航空航天大学 一种基于域名可读性及域名解析行为的可疑性检测方法
CN106101104A (zh) * 2016-06-15 2016-11-09 国家计算机网络与信息安全管理中心 一种基于域名解析的恶意域名检测方法及系统
CN106657025A (zh) * 2016-11-29 2017-05-10 神州网云（北京）信息技术有限公司 网络攻击行为检测方法及装置
CN108206814B (zh) * 2016-12-20 2021-03-16 腾讯科技（深圳）有限公司 一种防御dns攻击的方法、装置及系统
US11057404B2 (en) 2016-12-20 2021-07-06 Tencent Technology (Shenzhen) Company Limited Method and apparatus for defending against DNS attack, and storage medium
CN108206814A (zh) * 2016-12-20 2018-06-26 腾讯科技（深圳）有限公司 一种防御dns攻击的方法、装置及系统
CN106411965A (zh) * 2016-12-22 2017-02-15 北京知道创宇信息技术有限公司 确定提供仿冒服务的网络服务器的方法、设备及计算设备
CN106411965B (zh) * 2016-12-22 2019-05-03 北京知道创宇信息技术有限公司 确定提供仿冒服务的网络服务器的方法、设备及计算设备
CN106685951A (zh) * 2016-12-26 2017-05-17 北京奇虎科技有限公司 一种基于域名规则的网络流量过滤系统与方法
CN108270761A (zh) * 2017-01-03 2018-07-10 中国移动通信有限公司研究院 一种域名合法性检测方法及装置
CN108418780A (zh) * 2017-02-10 2018-08-17 阿里巴巴集团控股有限公司 Ip地址的过滤方法及装置、系统、dns服务器
CN108462675A (zh) * 2017-02-20 2018-08-28 沪江教育科技（上海）股份有限公司 一种网络访问识别方法及系统
CN107172006A (zh) * 2017-03-22 2017-09-15 深信服科技股份有限公司 检测无线网络恶意性的方法及装置
CN107835149B (zh) * 2017-09-13 2020-06-05 杭州安恒信息技术股份有限公司 基于dns流量分析的网络窃密行为检测方法以及装置
CN107835149A (zh) * 2017-09-13 2018-03-23 杭州安恒信息技术有限公司 基于dns流量分析的网络窃密行为检测方法以及装置
CN107786575A (zh) * 2017-11-11 2018-03-09 北京信息科技大学 一种基于dns流量的自适应恶意域名检测方法
CN107786575B (zh) * 2017-11-11 2020-07-10 北京信息科技大学 一种基于dns流量的自适应恶意域名检测方法
CN108200054B (zh) * 2017-12-29 2021-02-12 奇安信科技集团股份有限公司 一种基于dns解析的恶意域名检测方法及装置
CN108200054A (zh) * 2017-12-29 2018-06-22 北京奇安信科技有限公司 一种基于dns解析的恶意域名检测方法及装置
TWI677803B (zh) * 2018-05-09 2019-11-21 中華電信股份有限公司 可疑網域之偵測方法、閘道裝置及非暫態電腦可讀取媒體
WO2020019510A1 (zh) * 2018-07-26 2020-01-30 平安科技（深圳）有限公司 一种信息处理方法、终端及计算机可读存储介质
CN109688165A (zh) * 2019-02-26 2019-04-26 北京微步在线科技有限公司 一种挖掘恶意域名的方法和装置
CN110519099A (zh) * 2019-08-30 2019-11-29 浙江岩华文化传媒有限公司 内网资源监测方法、装置、电子设备及计算机可读介质
CN113691491A (zh) * 2020-05-18 2021-11-23 安碁资讯股份有限公司 域名系统中恶意域名的检测方法与检测装置
CN112532636A (zh) * 2020-12-02 2021-03-19 赛尔网络有限公司 一种基于T-Pot蜜罐和主干网流量的恶意域名检测方法及装置
CN113141370A (zh) * 2021-04-30 2021-07-20 国家计算机网络与信息安全管理中心山西分中心 一种内部网络流量的恶意dns隧道识别方法
CN113141370B (zh) * 2021-04-30 2022-09-16 国家计算机网络与信息安全管理中心山西分中心 一种内部网络流量的恶意dns隧道识别方法
CN113645240A (zh) * 2021-08-11 2021-11-12 中电积至(海南)信息技术有限公司 一种基于图结构的恶意域名群落挖掘方法
WO2024036822A1 (zh) * 2022-08-16 2024-02-22 天翼安全科技有限公司 一种恶意域名确定方法、装置、设备及介质

Similar Documents

Publication Publication Date Title
CN104994117A (zh) 一种基于dns解析数据的恶意域名检测方法及系统
CN106101104A (zh) 一种基于域名解析的恶意域名检测方法及系统
US11057427B2 (en) Method for identifying phishing websites and hindering associated activity
Yen et al. Beehive: Large-scale log analysis for detecting suspicious activity in enterprise networks
Clincy et al. Web application firewall: Network security models and configuration
US8370407B1 (en) Systems providing a network resource address reputation service
US9420049B1 (en) Client side human user indicator
CN102801697B (zh) 基于多url的恶意代码检测方法和系统
KR101010302B1 (ko) Ｉｒｃ 및 ｈｔｔｐ 봇넷 보안 관제를 위한 관리 시스템 및 그 방법
CN109474575B (zh) 一种dns隧道的检测方法及装置
Fogla et al. Evading network anomaly detection systems: formal reasoning and practical techniques
US9049221B1 (en) Detecting suspicious web traffic from an enterprise network
EP2715522B1 (en) Using dns communications to filter domain names
US20130007870A1 (en) Systems for bi-directional network traffic malware detection and removal
US20130007882A1 (en) Methods of detecting and removing bidirectional network traffic malware
Cai et al. Detecting HTTP botnet with clustering network traffic
EP3570504B1 (en) Attack countermeasure determination device, attack countermeasure determination method, and attack countermeasure determination program
Karnwal et al. A filter tree approach to protect cloud computing against XML DDoS and HTTP DDoS attack
US11140178B1 (en) Methods and system for client side analysis of responses for server purposes
Meng et al. Adaptive non-critical alarm reduction using hash-based contextual signatures in intrusion detection
CN114402567A (zh) 算法生成的域的在线检测
WO2016201994A1 (zh) 域名可信度确定的方法及装置
CN106341377A (zh) 一种Web服务器免受攻击的方法及装置
CN110611611B (zh) 一种用于家庭网关的web安全访问方法
Nadji et al. Still beheading hydras: Botnet takedowns then and now

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20151021