CN109889511A - 进程dns活动监控方法、设备及介质 - Google Patents

Abstract

本发明提供了一种进程DNS活动监控方法、设备及介质。其中，该方法基于域名服务提供者服务的监控进程DNS解析及其解析结果的方法，可以高效的在不影响系统稳定性的情况下关联进程、域名、IP地址三者之间的关系，避免了从驱动层解析DNS数据报文存在的问题，降低了监控系统的复杂度。

Description

进程DNS活动监控方法、设备及介质

技术领域

本发明涉及软件安全领域，具体而言，涉及一种进程DNS活动监控方法、设备及介质。

背景技术

NSP(Namespace Service Provider，域名服务提供者)服务和LSP(LayeredService Provider，分层服务提供者)服务类似，是Windows提供的一种应用在应用层的从数据到程序之间可以修改监控数据的一种机制，可以先于解析动作加载用于解析重定向等功能。

DNS(Domain Name System，域名系统)，万维网上作为域名和IP地址相互映射的一个分布式数据库，能够使用户更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。通过域名，最终得到该域名对应的IP地址的过程叫做域名解析(或主机名解析)。DNS协议运行在UDP协议之上，使用端口号53。

恶意软件技术的与日俱增，涌现了许多逃避安全软件检测的手段。其中之一的技术为DGA(域名生成算法)。通过对特定域名的访问，恶意软件可以接受来自服务器的指令，根据指令完成不同的侵害计算机财产安全的行为。

DGA(域名生成算法)是恶意软件自身约定的算法生成一个随机域名字符串的一种技术。有别于传统的后门域名生成方式。传统的域名使用方式一般是通过固定的字符串域名嵌入到程序中，然后进行访问。而域名生成算法的产生可以使得程序在运行期间可以实时、动态生成。只需服务器与恶意软件通过相同的算法生成相同的域名，并且服务器注册通过算法生成的域名，客户端即可对该域名进行访问。该种域名是可以短时大量生成，极易由软件开发者控制，可以随时上线或者下线，具有高并发、高时效、高易失的特点，极大的增加了通过静态域名的监控来实现恶意软件的判别难度。

通过对大量恶意软件样本的观察分析可以发现，恶意软件在何时访问了域名，访问了什么域名，以及该域名对应的实时IP这样的相关信息，对于判别恶意软件是有极大的帮助的。在知道某些IP地址已经被加入黑名单的情况下，如果能够关联进程、域名、IP之间的信息，对于提高分辨恶意软件的效率与准确率。

发明内容

本发明提供了一种进程DNS活动监控方法、设备及介质，以至少解决相关技术中从驱动层解析DNS数据报文存在的问题。

第一方面，本发明实施例提供了一种进程DNS活动监控方法，包括：监控模块注册到域名服务提供者服务；所述监控模块通过所述域名服务提供者服务，在进程进行域名解析时，监听所述进程的域名请求，并解析系统服务响应于所述域名请求的数据。

第二方面，本发明实施例提供了一种进程DNS活动监控设备，包括：至少一个处理器、至少一个存储器以及存储在所述存储器中的计算机程序指令，当所述计算机程序指令被所述处理器执行时实现第一方面所述的方法。

第三方面，本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序指令，当所述计算机程序指令被处理器执行时实现第一方面所述的方法。

通过本发明实施例提供的进程DNS活动监控方法、设备及介质，采用监控模块注册到域名服务提供者服务；监控模块通过域名服务提供者服务，在进程进行域名解析时，监听所述进程的域名请求，并解析系统服务响应于所述域名请求的数据的方式，解决了从驱动层解析DNS数据报文存在的问题，降低了监控系统的复杂度。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的进程DNS活动监控方法的流程图；

图2是根据本发明实施例的进程DNS活动监控设备的硬件结构示意图；

图3是根据本发明优选实施例的进程DNS活动监控方法的流程图。

具体实施方式

下面将详细描述本发明的各个方面的特征和示例性实施例，为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细描述。应理解，此处所描述的具体实施例仅用于解释本发明，并不用于限定本发明。对于本领域技术人员来说，本发明可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本发明的示例来提供对本发明更好的理解。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

在本实施例中提供了一种进程DNS活动监控方法，图1是根据本发明实施例的进程DNS活动监控方法的流程图，如图1所示，该流程包括如下步骤：

步骤S101，监控模块注册到域名服务提供者服务；

步骤S102，监控模块通过域名服务提供者服务，在进程进行域名解析时，监听进程的域名请求，并解析系统服务响应于域名请求的数据。

通过上述步骤，将监控模块注册到域名服务提供者服务，使得监控模块可以通过域名服务提供者服务在进程进行域名解析时，监听进程的域名请求，并解析系统服务响应于域名请求的数据，解决了从驱动层解析DNS数据报文存在的问题，降低了监控系统的复杂度。

可选地，监控模块通过域名服务提供者服务，在进程进行域名解析时，监听进程的域名请求，并解析系统服务响应于域名请求的数据包括：监控模块通过域名服务提供者服务，在进程进行域名解析时，监听进程的进程ID信息和域名请求中的域名信息，并解析系统服务响应于域名请求的IP地址信息。通过上述方式实现了进程、域名和IP地址的关联。

在传统技术中从内核驱动层监控本机的UDP 53通信端口，通过分析数据流，解析DNS数据报文，来获取本机访问域名，该种方法不易将访问发起动作、域名解析结果以及发起进程之间的关系进行关联，并且复杂度较高，内核的某些数据操作也有可能降低系统的稳定性。而采用本实施例的方法，不但能够更容易地在应用层获得域名、进程ID和域名解析得到的IP地址之间的对应关系，还见底了复杂度，提升了系统的稳定性，避免了在驱动层进行监控可能导致的系统稳定性降低的问题。

相对于传统技术中在应用层通过挂钩相关域名解析函数来记录域名访问的监控方法，该方法由于修改了进程本身的执行代码，较易被发现，会增加恶意软件逃逸的几率，另外挂钩需要对每一个进行DNS查询的函数都进行处理，也提升了软件设计的复杂度。而采用本实施例的方法，不需要对进程本身的执行代码进行修改，不易被发现也不易被绕过。

可选地，在步骤S103中，在进程开始进行域名解析时，监控模块被加载到进程的进程空间；在进程解析域名的过程中，监控模块记录域名请求的发起信息，发起信息至少包括：域名信息、进程ID信息。

可选地，在步骤S103中还包括：在进程完成域名解析时，监控模块记录域名解析结果，域名解析结果至少包括：系统服务响应于域名请求的IP地址信息。

通过上述的优选方式，能够获得进程访问的域名、进程ID以及域名解析得到的IP地址之间的对应关系。

可选地，在在进程开始进行域名解析时，监控模块被加载到进程的进程空间之后，进程通过API接口进行初始化，建立与监控系统的服务端的通信机制。可选地，监控模块则可以通过通信机制，将进程ID信息、域名信息和IP地址信息发送给监控系统的服务端。该方式目的是将监控到的域名解析数据上报到监控系统的服务端，以进行后续分析处理。

可选地，在进程解析域名的过程中，监控模块记录域名请求的发起信息之后，监控模块将发起信息返回给系统服务，以继续执行域名解析请求。上述方式保证了系统中域名解析过程完整连续。

可选地，本实施例的进程DNS活动监控方法还包括：初始化监控系统的数据接收端。由于监控数据产生于不同的进程之中，因此将监控系统的数据接收端初始化以使用公共的接收端来接收数据。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

另外，结合图1描述的本发明实施例的进程DNS活动监控方法可以由进程DNS活动监控设备来实现。图2示出了本发明实施例提供的进程DNS活动监控设备的硬件结构示意图。

进程DNS活动监控设备可以包括处理器21以及存储有计算机程序指令的存储器22。

具体地，上述处理器21可以包括中央处理器(CPU)，或者特定集成电路(Application Specific Integrated Circuit，ASIC)，或者可以被配置成实施本发明实施例的一个或多个集成电路。

存储器22可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器22可包括硬盘驱动器(Hard Disk Drive，HDD)、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线(Universal Serial Bus，USB)驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器22可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器22可在数据处理装置的内部或外部。在特定实施例中，存储器22是非易失性固态存储器。在特定实施例中，存储器22包括只读存储器(ROM)。在合适的情况下，该ROM可以是掩模编程的ROM、可编程ROM(PROM)、可擦除PROM(EPROM)、电可擦除PROM(EEPROM)、电可改写ROM(EAROM)或闪存或者两个或更多个以上这些的组合。

处理器21通过读取并执行存储器22中存储的计算机程序指令，以实现上述实施例中的任意一种进程DNS活动监控方法。

在一个示例中，进程DNS活动监控设备还可包括通信接口23和总线20。其中，如图2所示，处理器21、存储器22、通信接口23通过总线20连接并完成相互间的通信。

通信接口23，主要用于实现本发明实施例中各模块、装置、单元和/或设备之间的通信。

总线20包括硬件、软件或两者，将进程DNS活动监控设备的部件彼此耦接在一起。举例来说而非限制，总线可包括加速图形端口(AGP)或其他图形总线、增强工业标准架构(EISA)总线、前端总线(FSB)、超传输(HT)互连、工业标准架构(ISA)总线、无限带宽互连、低引脚数(LPC)总线、存储器总线、微信道架构(MCA)总线、外围组件互连(PCI)总线、PCI-Express(PCI-X)总线、串行高级技术附件(SATA)总线、视频电子标准协会局部(VLB)总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线20可包括一个或多个总线。尽管本发明实施例描述和示出了特定的总线，但本发明考虑任何合适的总线或互连。

该进程DNS活动监控设备可以基于获取到的数据，执行本发明实施例中的进程DNS活动监控方法，从而实现结合图1描述的进程DNS活动监控方法。

另外，结合上述实施例中的进程DNS活动监控方法，本发明实施例可提供一种计算机可读存储介质来实现。该计算机可读存储介质上存储有计算机程序指令；该计算机程序指令被处理器执行时实现上述实施例中的任意一种进程DNS活动监控方法。

为了使本发明实施例的描述更加清楚，下面结合优选实施例进行描述和说明。

本优选实施例提供了一种进程DNS活动监控方法，主要包括将监控模块注册到域名服务提供者服务，以使得监控模块在进程进行DNS解析时记录相关信息，系统服务返回结果时监控模块获得解析结果并发送到数据接收端。

图3是根据本发明优选实施例的进程DNS活动监控方法的流程图，参考图3，该流程包括如下步骤：

步骤一，将监控系统的监控模块注册到域名服务提供者服务。通过注册到域名服务提供者服务的监控模块，在进程进行域名访问的动作时会被系统正常的调用、加载。

步骤二，监控模块数据接收端初始化。监控数据产生于不同的进程之中，接收端初始化以使用公共的接收端来接收数据。

步骤三，进程进行域名解析时，被注册的监控模块被自动加载到进程空间，程序通过API接口进行初始化，此时建立与监控系统的服务端的通信机制。

步骤四，进程解析域名的过程中，调用内部开始解析函数，此时模块记录域名请求的发起信息，包括域名、进程ID、请求时间等，将此类信息保存到与之对应的结构中，然后返回到系统服务继续执行域名解析请求。

步骤五，系统服务完成解析时，进入到监控模块。返回到监控模块时，系统服务会返回响应的解析结果，监控模块解析系统服务返回数据中得到的IP地址信息，并记录该IP地址信息。

步骤六，根据步骤三中建立的通信机制，将记录的信息(进程、域名、IP地址)发送给监控系统的服务端进行下一步处理。

步骤七，返回给进程解析结果，一次解析监控动作完成。

综上所述，通过本发明上述实施例给出的基于域名服务提供者服务的监控进程DNS解析及其解析结果的方法，从应用层出发可以高效的在不影响系统稳定性的情况下关联进程、域名、IP三者之间的关系，避免了从驱动层解析DNS数据报文，极大的降低了监控系统的复杂度，以及进行应用层钩子导致的易被发现、易被绕过的问题。

需要明确的是，本发明并不局限于上文所描述并在图中示出的特定配置和处理。为了简明起见，这里省略了对已知方法的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本发明的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本发明的精神后，作出各种改变、修改和添加，或者改变步骤之间的顺序。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种进程DNS活动监控方法，其特征在于，包括：

监控模块注册到域名服务提供者服务；

所述监控模块通过所述域名服务提供者服务，在进程进行域名解析时，监听所述进程的域名请求，并解析系统服务响应于所述域名请求的数据。

2.根据权利要求1所述的方法，其特征在于，所述监控模块通过所述域名服务提供者服务，在进程进行域名解析时，监听所述进程的域名请求，并解析系统服务响应于所述域名请求的数据包括：

所述监控模块通过所述域名服务提供者服务，在进程进行域名解析时，监听所述进程的进程ID信息和所述域名请求中的域名信息，并解析系统服务响应于所述域名请求的IP地址信息。

3.根据权利要求1所述的方法，其特征在于，所述监控模块通过所述域名服务提供者服务，在进程进行域名解析时，监听所述进程的域名请求包括：

在所述进程开始进行域名解析时，所述监控模块被加载到所述进程的进程空间；

在所述进程解析域名的过程中，所述监控模块记录域名请求的发起信息，所述发起信息至少包括：域名信息、进程ID信息。

4.根据权利要求3所述的方法，其特征在于，所述监控模块解析系统服务响应于所述域名请求的IP地址信息包括：

在所述进程完成域名解析时，所述监控模块记录域名解析结果，所述域名解析结果至少包括：系统服务响应于所述域名请求的IP地址信息。

5.根据权利要求4所述的方法，其特征在于，在在所述进程开始进行域名解析时，所述监控模块被加载到所述进程的进程空间之后，所述方法还包括：

所述进程通过API接口进行初始化，建立与监控系统的服务端的通信机制。

6.根据权利要求3所述的方法，其特征在于，在在所述进程解析域名的过程中，所述监控模块记录域名请求的发起信息之后，所述方法还包括：

所述监控模块将所述发起信息返回给系统服务，以继续执行域名解析请求。

7.根据权利要求5所述的方法，其特征在于，所述方法还包括：

所述监控模块通过所述通信机制，将所述进程ID信息、所述域名信息和所述IP地址信息发送给所述监控系统的服务端。

8.根据权利要求1至7中任一项所述的方法，其特征在于，所述方法还包括：

初始化监控系统的数据接收端。

9.一种进程DNS活动监控设备，其特征在于，包括：至少一个处理器、至少一个存储器以及存储在所述存储器中的计算机程序指令，当所述计算机程序指令被所述处理器执行时实现如权利要求1-8中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序指令，其特征在于，当所述计算机程序指令被处理器执行时实现如权利要求1-8中任一项所述的方法。