CN105812204A - 一种基于连接度估计的递归域名服务器在线识别方法 - Google Patents

Abstract

本发明公开了一种基于连接度估计的递归域名服务器在线识别方法。本方法为：1)对获取的设定时间段内的网络流量进行协议分析，得到一DNS流量数据集；2)对该DNS流量数据集中的DNS流量进行解析，获取DNS流量的属性信息；3)根据属性信息计算每个源IP的Src‑con值和Dom‑con值；Src‑con值为源IP连接度，即DNS流量中源IP地址对应不同目的IP地址的个数；Dom‑con值为域名连接度，即源IP地址对应不同域名的个数；4)如果同一源IP对应的Src‑con值高于源IP连接度阈值、Dom‑con值高于域名连接度阈值；则将该源IP对应的服务器作为递归域名服务器。本发明识别准确率高。

Description

一种基于连接度估计的递归域名服务器在线识别方法

技术领域

本发明属于网络测量技术领域，具体涉及一种基于连接度估计的递归域名服务器在线识别方法。

背景技术

域名系统(Domain Name System)是互联网的核心服务，它通过域名服务器解析域名为IP地址，使用户更便捷地访问互联网，解析流程如图1所示。目前域名服务器按服务类型可分为：Root-DNS:根域名服务器，域名解析系统中最高级别的域名服务器，负责返回顶级域名的权威域名服务器地址；Authoritative DNS(ADNS):权威域名服务器，负责管理某区域，对于该区域的域名查询直接从本地数据库查找并响应；Recursive DNS(RDNS):递归域名服务器，代替用户向权威域名服务器提出查询，解析权威域名服务器的响应信息，并向用户返回响应信息。

对递归域名服务器进行污染评估、DDos攻击规模评估等是识别递归域名服务器安全程度的有效途径。然而，获取准确的递归域名服务器是这些评估工作的前提和基础。依据是否需要构造特定的域名查询请求，目前识别递归域名服务器的方法可以分为两类：主动方式和被动方式。

主动方式又可以分为两类：第一类方式中用户向设定的IP列表发送特定的域名查询请求，根据是否收到应答或应答类型对域名服务器进行分类，进而识别出递归域名服务器。第二类方式中，由于权威域名服务器只与递归域名服务器直接交互，通过获取与权威域名服务器直接交互的节点的IP地址集合，达到获取递归域名服务器的目的。权威域名服务器ADNS接收DNS请求的源IP集合就是递归域名服务器集合。但是主动方式也存在很多缺点：第一类方式中，主动探测前需要提前获取大量的IP地址；第二类方式中，当前很多递归域名服务器都进行安全设置，阻止某顶级或二级域名下任意主机的域名查询，域名查询请求可能被其过滤，导致主动方式耗费大量资源探测没有响应结果的IP地址。

被动方式指不依赖具体的递归域名服务器，通过分析网络流量中递归域名服务器的相关特征进行识别，有效的解决了主动方式的缺点。但由于递归域名服务器和客户端使用相同的协议，两者之间的流量特征无明显区别，难以从网络流量中通过协议分析直接识别出递归域名服务器。现有的被动方式主要通过解析离线DNS流量，构造DNS流量图，通过分析图形中节点模式识别出递归域名服务器。但是由于离线流量无法及时反映网络状态，时效性较差，无法识别出活跃程度发生变化的递归域名服务器。因此亟需一种直接对在线流量进行分析，及时准确地识别出活跃度高的递归域名服务器的方法。大流量和有限的在线资源对在线分析流量造成极大挑战。

发明内容

基于上述分析与考虑，本发明的目的在于提供一种基于连接度估计的递归域名服务器在线识别方法，本发明通过利用多种主动探测技术，对不同连接度阈值下所识别出的递归域名服务器进行验证，识别准确率高，占用内存消耗小。

本发明的技术方案为：

一种基于连接度估计的递归域名服务器在线识别方法，其步骤为：

1)对获取的设定时间段内的网络流量进行协议分析，得到一DNS流量数据集；

2)对该DNS流量数据集中的DNS流量进行解析，获取DNS流量的属性信息；其中，属性信息包括源IP、目的IP和域名；

3)根据获取的属性信息计算每个源IP的Src-con值和Dom-con值；其中，Src-con值为源IP连接度，即DNS流量中源IP地址对应不同目的IP地址的个数；Dom-con值为域名连接度，即DNS流量中源IP地址对应不同域名的个数；

4)如果同一源IP对应的Src-con值高于源IP连接度阈值、Dom-con值高于域名连接度阈值；则将该源IP对应的服务器作为递归域名服务器。

确定该源IP连接度阈值、域名连接度阈值的方法为：将每个源IP对应的Src-con值进行累加得到一总Src-con值，将每个源IP对应的Dom-con值进行累加得到一总Dom-con值；然后计算每个源IP对应的Src-con值占总Src-con值的比值、Dom-con值占总Dom-con值的比值；然后将得到的比值分别从大到小进行累计，当Src-con值占总Src-con值的比值累计值变化小于设定变化值h1时，将最后一个累计的源IP地址的Src-con值作为源IP连接度阈值；当Dom-con值占总Dom-con值的比值累计值变化小于设定变化值h2时，将最后一个累计的源IP地址的Dom-con值作为域名连接度阈值。

计算每个源IP的Src-con值的方法为：首先初始化一位值为0的共享位数组B；然后对每一组源IP、目的IP，在该共享位数组B中为该源IP分配s个位，将该源IP获取的位中的一位分配给该目的IP并置位值为1，同时存储该源IP；最后根据存储的源IP和共享位数组B，计算该共享位数组B中位值为0的位数占该共享位数组B总位数的占比Vm、每个源IP对应的s个位中位值为0的位数占s的占比Vs，根据公式s*(ln(Vm)–ln(Vs))计算出对应源IP的Src-con值。

采用哈希函数在该共享位数组B中为每一源IP分配s个位。

计算每个源IP的Dom-con值的方法为：首先初始化一位值为0的共享位数组B’；然后对每一组源IP、域名，在该共享位数组B’中为该源IP分配s’个位，并将该源IP获取的位中一位分配给该域名，置位值为1，同时哈希存储该源IP；最后根据存储的源IP和共享位数组B’，计算该共享位数组B’中位值为0的位数占该共享位数组B’总位数的占比Vm’、每个源IP对应的s’个位中位值为0的位数占s’的占比Vs’，根据公式s’*(ln(Vm’)–ln(Vs’))计算出对应源IP的Dom-con值。

本发明主要包括以下步骤：

1)获取一段时间内的流量，对获取的网络流量进行协议分析得到DNS流量数据集，然后对DNS流量数据集进行解析，获取流量中源IP、目的IP、域名等属性；

2)基于在线获取的DNS流量属性，使用估计连接度的算法，计算每个源IP的Src-con和Dom-con；

3)将同时具有较高的Src-con和Dom-con作为识别特征，分别取阈值，获取RDNS的交集列表集合。通过验证IP发现这些Src-con和Dom-con比较高的IP一般都是递归域名服务器，因此本发明将这两个指标作为关键特征，将这两个指标数值高于设定阈值的IP作为递归服务器。

步骤1)获取的一段时间的流量，选取的是24小时。

步骤2)Src-con源IP连接度，表示在一定时间周期内，DNS流量中源IP地址对应不同目的地址的个数；Dom-con域名连接度，在一定时间周期内，DNS流量中源IP地址对应不同域名的个数；估计每个源IP的连接度的流程图如图2，具体计算连接度的伪代码如下：

算法1Src-con估值算法

输入:DNS Stream

输出:Conset{src,Src-con}

采用上述方法，将连接度统计模型部署到在线网络设备中，如图3所示，具体包括如下模块：

DNS流量获取模块，从底层获取网络流量，再通过协议分析获取DNS流量，将DNS流量上传给DNS流量解析模块；

DNS流量解析模块，解析出源IP地址、目的IP地址与域名；

数据流哈希模块，通过对这三个属性的哈希映射来更新Src-con和Dom-con的共享数组，同时哈希存储源IP地址；

在线连接度计算模块，读取流量24h以后，利用共享数组和源IP的哈希表对每个源IP分别计算Src-con和Dom-con，然后计算每个源IP地址Src-con和Dom-con对总Src-con和总Dom-con的占比情况，对百分比从大到小进行累计，当累计百分比变化小于设定变化值时，最后一个累计的源IP地址的Src-con和Dom-con就是源IP连接度阈值和域名连接度阈值，之后将Src-con和Dom-con值分别高于对应阈值的源IP识别为递归服务器，获得RDNS的交集列表集合。

与现有技术相比，本发明具有以下优点：

1、对DNS流量进行分析，挖掘出可识别递归域名服务器的特征：主机连接度和域名连接度。

2、实现了一种高效的在线计算流量中主机连接度和域名连接度的算法，并对在线计算结果进行误差分析，应用于识别递归域名服务器这个应用场景中；

3、结合多种主动探测技术和IP定位技术，对不同连接度阈值下所识别出的递归域名服务器进行验证，获得具有较高识别准确率的连接度阈值。本发明是以一定时间(如90～120s)为周期对所有域名不存在记录进行聚合，保证了域名分析的实时性。

附图说明

图1为域名系统解析流程图；

图2为连接度估计算法流程图；

图3是连接度模型在线部署图；

图4是验证流程图；

图5是内存消耗图。

具体实施方式

本发明的系统是以在线网络设备的插件运行，下面结合附图和具体实施例对本发明进行详细说明。

如图3所示，一种基于连接度估计的递归域名服务器在线识别方法部署，实验步骤如下：

步骤1)：获取某教育网网关(EDU)和某企业网网关(ISP)24小时内的DNS流量，对DNS数据集进行解析，获取流量中的源IP、目的IP、域名等属性。

步骤201)：按照图2连接度估计算法流程图所示，以Src-con为例，程序初始化时申请一个位值为0的大型共享位数组B，之后每到达一组源、目的IP地址，利用随机数组R制造的多个哈希函数，对源IP地址进行映射，把数组B中s个位分配给该源IP地址，对目的IP地址进行映射，把该源IP地址获取的位中某一位分配给该目的IP地址，置位值为1，同时存储源IP地址。读取流量24h以后，输出源IP地址和共享位数组B，计算位数组B中位值为0的位数占B数组总位数的占比Vm、每个源IP地址对应的那s个位中位值为0的位数占s的占比Vs，然后通过公式s*(ln(Vm)–ln(Vs))计算出对应源IP地址的Src-con的估计值；同理可以计算得到Dom-con的估计值。

步骤202)：为了评估连接度估计算法的误差对最后识别RDNS精确性的影响，以计算Src-con为例，对估计算法进行误差分析：选用从带宽为5Gbps骨干网链路上捕获的24h的DNS数据包作为测试数据集，BOB哈希处理测试数据集中的DNS数据流，分别计算Src-con的精确值S_1和估计值S_2，发现S_2值越高越接近精确值，识别出RDNS的概率越大，因此估计算法的误差对识别准确性影响不大。其中，精确值S_1的计算方法就是计数，以Src-con为例，把所有不同的源IP地址记录下来，把每个源IP地址对应的目的IP地址也记录下来，每到达一个新的源IP地址，那么其对应的目的IP地址肯定也是新的，也就是说Src-con变为1，之后每到达一个这个源IP地址的目的IP地址，都会与之前这个源IP地址对应的目的IP地址严格比较，与所有目的IP地址都不一样的时候，才会让Src-con进行加1操作，这样最后得到的Src-con值，才是精确值，完全是数出来的。

步骤203)：对估计算法进行性能评估：一组运行连接度精确测量算法(每个源IP维护一组连接信息)，另一组运行本文所使用的连接度估计算法，两组设备在同一个带宽为5Gbps的骨干网链路上同时进行在线测试，内存消耗如图5所示。

步骤301)：根据计算得到的Src-con和Dom-con分别取阈值，获取RDNS的交集列表集合。

步骤302)：如图4验证流程图所示，对不同阈值下识别出的递归域名服务器结合多种主动探测技术进行验证。

积极效果

数据集为某教育网网关(EDU)和某企业网网关(ISP)24小时内的DNS流量。将计算得到的Src-con和Dom-con分别取阈值，获取RDNS的交集列表集合，阈值的选取和识别RDNS的数目，对不同阈值下识别出的递归域名服务器结合多种主动探测技术进行验证，验证结果如下：

表1RDNS结果识别与验证

Claims (5)

1.一种基于连接度估计的递归域名服务器在线识别方法，其步骤为：

1)对获取的设定时间段内的网络流量进行协议分析，得到一DNS流量数据集；

2)对该DNS流量数据集中的DNS流量进行解析，获取DNS流量的属性信息；其中，属性信息包括源IP、目的IP和域名；

3)根据获取的属性信息计算每个源IP的Src-con值和Dom-con值；其中，Src-con值为源IP连接度，即DNS流量中源IP地址对应不同目的IP地址的个数；Dom-con值为域名连接度，即DNS流量中源IP地址对应不同域名的个数；

4)如果同一源IP对应的Src-con值高于源IP连接度阈值、Dom-con值高于域名连接度阈值；则将该源IP对应的服务器作为递归域名服务器。

2.如权利要求1所述的方法，其特征在于，确定该源IP连接度阈值、域名连接度阈值的方法为：将每个源IP对应的Src-con值进行累加得到一总Src-con值，将每个源IP对应的Dom-con值进行累加得到一总Dom-con值；然后计算每个源IP对应的Src-con值占总Src-con值的比值、Dom-con值占总Dom-con值的比值；然后将得到的比值分别从大到小进行累计，当Src-con值占总Src-con值的比值累计值变化小于设定变化值h1时，将最后一个累计的源IP地址的Src-con值作为源IP连接度阈值；当Dom-con值占总Dom-con值的比值累计值变化小于设定变化值h2时，将最后一个累计的源IP地址的Dom-con值作为域名连接度阈值。

3.如权利要求1或2所述的方法，其特征在于，计算每个源IP的Src-con值的方法为：首先初始化一位值为0的共享位数组B；然后对每一组源IP、目的IP，在该共享位数组B中为该源IP分配s个位，将该源IP获取的位中的一位分配给该目的IP并置位值为1，同时存储该源IP；最后根据存储的源IP和共享位数组B，计算该共享位数组B中位值为0的位数占该共享位数组B总位数的占比Vm、每个源IP对应的s个位中位值为0的位数占s的占比Vs，根据公式s*(ln(Vm)–ln(Vs))计算出对应源IP的Src-con值。

4.如权利要求3所述的方法，其特征在于，采用哈希函数在该共享位数组B中为每一源IP分配s个位。

5.如权利要求1或2所述的方法，其特征在于，计算每个源IP的Dom-con值的方法为：首先初始化一位值为0的共享位数组B’；然后对每一组源IP、域名，在该共享位数组B’中为该源IP分配s’个位，并将该源IP获取的位中一位分配给该域名，置位值为1，同时哈希存储该源IP；最后根据存储的源IP和共享位数组B’，计算该共享位数组B’中位值为0的位数占该共享位数组B’总位数的占比Vm’、每个源IP对应的s’个位中位值为0的位数占s’的占比Vs’，根据公式s’*(ln(Vm’)–ln(Vs’))计算出对应源IP的Dom-con值。