CN112738286B - Ip属性识别方法、系统及计算机设备 - Google Patents

Abstract

本发明提供一种IP属性识别方法、系统及计算机设备，该方法包括：获取数据信息,数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据；对数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别；输出IP属性识别结果。应用本发明可以对获取到的所有数据信息进行IP属性分类，并按照IP属性的分类将获取的数据信息划分为若干个集合。当安全事件发生时，可以直接根据IP属性类型选择对应的集合，然后对集合内部的数据进行查询，这样就可以进行重点监控，为监管单位提供一个有效的辅助工具。

Description

IP属性识别方法、系统及计算机设备

技术领域

本发明涉及互联网技术领域，特别涉及一种IP属性识别方法、系统及计算机设备。

背景技术

域名系统(Domain Name System，DNS)是互联网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。域名系统是一个分布在全球的域名数据库，为用户提供了网络IP地址与域名之间的转换服务，将用户与互联网基础设施联系起来，是当前互联网必不可少的一部分，更是为邮件服务、Web应用、内容分发网络(Content Delivery Networ，CDN)服务等众多应用提供服务，为互联网的正常运行提供重要支持。

在域名系统日志中，含有大量应用系统的IP地址，这些IP地址具有不同的IP属性，为了便于搜索的需要，需要对这些IP地址的IP属性进行分类。但是在现有的IP地址属性识别方法中，采用的是直接对域名系统日志中的所有IP地址进行属性识别，再进行分类的方式。当安全事故发生时，面对浩如烟海的IP地址，需要找到需要的IP地址就变得什么困难，大大增加了对IP地址进行重点监控的难度。

发明内容

基于此，本发明的第一目的在于提供一种可以极大提高IP属性识别效率的IP属性识别方法。

本发明的第二目的在于提供一种可以极大提高IP属性识别效率的IP属性识别系统。

为了实现上述的第一目的，本发明提供的IP属性识别方法包括如下步骤：

获取数据信息,数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据；

对数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别；

输出IP属性识别结果，IP属性识别结果包括邮件服务器IP集合、递归服务IP集合、权威服务IP集合、CDN服务IP集合、web服务IP集合和IDC机房IP集合。

在上述方案中，该IP属性识别方法可以对获取的所有数据信息进行IP属性分类识别，该方法可以判断每条数据信息的IP地址属于哪一种IP属性，然后输出对应的识别结果。经过上述IP属性识别方法，可以对获取到的所有数据信息进行IP属性分类，并按照IP属性的分类将获取的数据信息划分为若干个集合。每个集合中的数据信息的IP地址属性相同。当安全事件发生时，可以直接根据IP属性类型选择对应的集合，然后对集合内部的数据进行查询，这样就可以进行重点监控，为监管单位提供一个有效的辅助工具。

优选地，对数据信息进行邮箱服务IP识别具体包括如下步骤：

获取匹配标识数据；

提取匹配标识数据中的邮件交换类型响应数据；

提取邮件交换类型响应数据中的查询信息，对查询信息进行分析，获取邮件地址后缀名称；

对邮件地址后缀名称进行分析，获取邮箱服务IP的名称；

在邮件交换类型响应数据中提取邮箱服务IP的地址记录。

在上述方案中，主要利用域名系统日志的邮件交换记录，获取邮箱服务IP的名称，然后通过邮箱服务IP名称找到邮件服务器IP地址。

进一步的方案是，对数据信息进行域名服务IP识别具体包括如下步骤：

获取数据信息的地址记录；

判断地址记录是否为IP地址，若判定地址记录为IP地址，则将数据信息保存到数据记录中；

获取数据信息的域名服务器记录，将域名服务器记录的解析域名保存到域名服务器信息集合中；

在数据记录中查询与解析域名相对应的IP地址，IP地址为权威服务IP，并将权威服务IP保存到域名服务器IP集合中；

在数据记录中过滤掉权威服务IP；

获取IP地址数量低于第二阈值的IP地址，并将IP地址数量低于第二阈值的IP地址保存到域名IP集合中；

计算第一目的IP的三级域名的数量，第一目的IP为不属于域名IP集合的IP地址；

获取第二目的IP，第二目的IP为第一目的IP中三级域名数量大于或等于第三阈值的IP地址；

根据第二目的IP的权威应答标识信息获取第二目的IP的域名IP类型。

在上述方案中，除了通过分析IP访问活跃度以外，该IP属性识别方法还可以通过权威应答标识和解析域名数量来识别域名系统日志中出现的域名服务IP，并将其进一步区分为权威服务IP和递归服务IP。

更进一步的方案是，根据第二目的IP的权威应答标识信息获取第二目的IP的域名IP类型具体包括如下步骤：

获取所有第二目的IP的aa0值和aa1值，aa0值为第二目的IP中权威应答标识位为0的权威应答标识数量，aa1值为第二目的IP中权威应答标识位为1的权威应答标识数量；

判断第二目的IP的aa0值是否低于第四阈值，且第二目的IP的aa1值是否高于第五阈值；

若判定该第二目的IP的aa0值低于第四阈值，且该第二目的IP的aa1值高于第五阈值，则将该第二目的IP存储到递归IP集合中，若判定该第二目的IP的aa0值高于第四阈值，且该第二目的IP的aa1值低于第五阈值，则将该第二目的IP存储到权威IP集合中；

判断递归IP集合内的IP地址的二级域名数量是否大于或等于第六阈值；

若判定递归IP集合内的IP地址的二级域名数量大于或等于第六阈值，则确定该IP地址的域名服务类型为递归服务IP；

判断权威IP集合内的IP地址的二级域名数量是否小于第六阈值；

若判定权威IP集合内的IP地址的二级域名数量小于第六阈值，则确定该IP地址的域名服务类型为权威服务IP。

更进一步的方案是，对数据信息进行CDN服务IP识别具体包括如下步骤：

判断数据信息的域名中是否存在CDN字符串；

若判定数据信息的域名中存在CDN字符串，则根据数据信息的域名信息判断该数据信息的IP地址是否属于CDN服务IP。

更进一步的方案是，根据数据信息的域名信息判断该数据信息的IP地址是否属于CDN服务IP具体包括如下步骤：

判断数据信息的域名被其他域名解析的次数是否超过第七阈值；

若判定数据信息的域名被其他域名解析的次数超过第七阈值，则确定该数据信息的IP地址属性为CDN服务IP；

若判定数据信息的域名被其他域名解析的次数没有超过第七阈值，则判断数据信息的域名是否为CDN域名；

若判定数据信息的域名为CDN域名，则确定该数据信息的IP地址属性为CDN服务IP。

在上述方案中，首先所有数据信息的域名进行分析，来确定数据信息中的域名是否存在CDN字符串，若存在CDN字符串，则该数据信息的IP属性可能为CDN服务IP。然后确定该数据信息的域名是否为CDN域名。若该数据信息的域名为CDN域名。则CDN域名对应的IP地址即为CDN服务IP。

更进一步的方案是，对数据信息进行web服务IP识别具体包括如下步骤：

判断数据信息的80端口是否为开放状态，若判定数据信息的80端口为开放状态，则该数据信息的IP属性为web服务IP。

更进一步的方案是，对数据信息进行IDC机房IP识别具体包括如下步骤：

将数据信息转化为十进制数值，并将十进制数值按照从小到大的顺序进行排列；

判断是否存在相邻的两个十进制数值的差值大于第八阈值；

若判定存在相邻的两个十进制数值的差值大于第八阈值，则对数据信息进行切分，得到数据段；

判断数据段内开放80端口或开放443端口的占比是否超过第九阈值；

若判定数据段内开放80端口或开放443端口的占比超过第九阈值，则确定该数据段为IDC机房IP数据段；

判断数据信息的IP地址是否落在IDC机房IP数据段内；

若判定数据信息的IP地址落在IDC机房IP数据段内，则确定该数据信息的IP属性为IDC机房服务IP。

为了实现上述的第二目的，本发明提供的IP属性识别系统包括：

获取模块，获取模块用于获取数据信息，数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据；

IP属性识别模块，IP属性识别模块用于对数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别；

输出模块，输出模块用于输出IP属性识别结果，IP属性识别结果包括邮件服务器IP集合、递归服务IP集合、权威服务IP集合、CDN服务IP集合、web服务IP集合和IDC机房IP集合。

在上述方案中，该IP属性识别系统可以对获取到的所有数据信息进行IP属性分类，并按照IP属性的分类将获取的数据信息划分为若干个集合。每个集合中的数据信息的IP地址属性相同。

本发明还提出一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，处理器执行程序时实现上述的病毒识别防御方法。

附图说明

图1为本发明IP属性识别方法实施例中IP属性识别方法的流程图；

图2为本发明IP属性识别方法实施例中对数据信息进行邮箱服务IP识别的具体流程图；

图3为本发明IP属性识别方法实施例中对数据信息进行域名服务IP识别的第一流程图；

图4为本发明IP属性识别方法实施例中对数据信息进行域名服务IP识别的第二流程图；

图5为图4中步骤S3110的具体流程图；

图6为本发明IP属性识别方法实施例中对数据信息进行域名服务IP识别的第三流程图；

图7为本发明IP属性识别方法实施例中对数据信息进行域名服务IP识别的第四流程图；

图8为本发明IP属性识别方法实施例中对数据信息进行CDN服务IP识别的具体流程图；

图9为本发明IP属性识别方法实施例中对数据信息进行web服务IP识别的具体流程图；

图10为本发明IP属性识别方法实施例中对数据信息进行IDC机房IP识别的具体流程图；

图11为本发明IP属性识别系统实施例中IP属性识别系统的工作原理框图；

图12为本发明IP属性识别系统实施例中IP属性识别系统进行邮箱服务IP识别的工作原理框图；

图13为本发明IP属性识别系统实施例中IP属性识别系统进行域名服务IP识别的工作原理框图；

图14为本发明IP属性识别系统实施例中IP属性识别系统进行CDN服务IP识别的工作原理框图；

图15为本发明IP属性识别系统实施例中IP属性识别系统进行web服务IP识别的工作原理框图；

图16为本发明IP属性识别系统实施例中IP属性识别系统进行IDC机房IP识别的工作原理框图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行描述和说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。基于本申请提供的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

显而易见地，下面描述中的附图仅仅是本申请的一些示例或实施例，对于本领域的普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图将本申请应用于其他类似情景。此外，还可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本申请公开的内容相关的本领域的普通技术人员而言，在本申请揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本申请公开的内容不充分。

在本申请中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域普通技术人员显式地和隐式地理解的是，本申请所描述的实施例在不冲突的情况下，可以与其它实施例相结合。

除非另作定义，本申请所涉及的技术术语或者科学术语应当为本申请所属技术领域内具有一般技能的人士所理解的通常意义。本申请所涉及的“一”、“一个”、“一种”、“该”等类似词语并不表示数量限制，可表示单数或复数。本申请所涉及的术语“包括”、“包含”、“具有”以及它们任何变形，意图在于覆盖不排他的包含；例如包含了一系列步骤或模块(单元)的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可以还包括没有列出的步骤或单元，或可以还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。本申请所涉及的“连接”、“相连”、“耦接”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电气的连接，不管是直接的还是间接的。本申请所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。本申请所涉及的术语“第一”、“第二”、“第三”等仅仅是区别类似的对象，不代表针对对象的特定排序。

IP属性识别方法实施例：

参见图1，本实施了提供的IP属性识别方法包括如下步骤：首先，执行步骤S1，获取数据信息。然后，执行步骤S2，对数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别。最后，执行步骤S3，输出IP属性识别结果。

在本实施例中，步骤S1中的数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据。步骤S3中的IP属性识别结果包括邮件服务器IP集合、递归服务IP集合、权威服务IP集合、CDN服务IP集合、web服务IP集合和IDC机房IP集合。经过上述IP属性识别方法，可以对获取到的所有数据信息进行IP属性分类，并按照IP属性的分类将获取的数据信息划分为若干个集合。每个集合中的数据信息的IP地址属性相同。当安全事件发生时，可以直接根据IP属性类型选择对应的集合，然后对集合内部的数据进行查询，这样就可以进行重点监控，为监管单位提供一个有效的辅助工具。

参见图2，对数据信息进行邮箱服务IP识别具体包括如下步骤：首先，执行步骤S21，获取匹配标识数据。接着，执行步骤S22，提取匹配标识数据中的邮件交换类型响应数据。然后，执行步骤S23，提取邮件交换类型响应数据中的查询信息，对查询信息进行分析，获取邮件地址后缀名称。接着，执行步骤S24，对邮件地址后缀名称进行分析，获取邮箱服务IP的名称。最后，执行步骤S25，在邮件交换类型响应数据中提取邮箱服务IP的地址记录。

在本实施例中，在执行步骤S21的过程中，提取匹配应答标识＝1或2的数据，过滤匹配应答标识＝0的数据。在步骤S23中，查询信息为查询域名、解析值、捕获报文的时间等。在执行步骤S25的过程中，在邮件交换类型响应数据中提取的邮箱服务IP的地址记录即为邮箱服务IP。

参见图3，对数据信息进行域名服务IP识别的第一流程具体包括如下步骤：首先，执行步骤S31，获取预设时间内数据信息的IP地址向权威服务器的访问次数。接着，执行步骤S32，判断访问次数是否大于第一阈值。若访问次数大于第一阈值，则执行步骤S33，确定该数据信息的域名IP类型为递归服务IP。

在本实施例中，从理论上来讲，向权威域名服务IP发送大量解析请求的必定为递归服务IP。因此可以根据IP访问活跃度来识别递归服务IP。

参见图4，对数据信息进行域名服务IP识别的第二流程具体包括如下步骤：

首先，执行步骤S311，获取数据信息的地址记录。接着，执行步骤S312，判断地址记录是否为IP地址。若判定地址记录为IP地址，则执行步骤S313，将数据信息保存到数据记录中。接着，执行步骤S314，获取数据信息的域名服务器记录，将域名服务器记录的解析域名保存到域名服务器信息集合中。接着，执行步骤S315，在数据记录中查询与解析域名相对应的IP地址，并将与解析域名相对应的IP地址保存到域名服务器IP集合中。接着，执行步骤S316，在数据记录中过滤掉权威服务IP。接着，执行步骤S317，获取IP地址数量低于第二阈值的IP地址，并将IP地址数量低于第二阈值的IP地址保存到域名IP集合中。接着，执行步骤S318，计算第一目的IP的三级域名的数量。第一目的IP为不属于域名IP集合的IP地址。接着，执行步骤S319，获取第二目的IP。第二目的IP为第一目的IP中三级域名数量大于或等于第三阈值的IP地址；最后，执行步骤3110，根据第二目的IP的权威应答标识信息获取第二目的IP的域名IP类型。

在本实施例中，在步骤S315中，与解析域名相对应的IP地址为权威服务IP。在步骤S315中，数据记录中与解析域名相对应的IP地址为权威服务IP。在步骤S3110中，获取第二目的IP的域名IP类型以后，将第二目的IP中的递归服务IP存储到递归服务IP集合中，将第二目的IP中的权威服务IP和步骤S315中获取到的权威服务IP一同存储到权威服务IP集合中。

参见图5，图4中的S3110具体包括如下步骤：

首先，执行步骤S3121，获取所有第二目的IP的aa0值和aa1值；

其中，aa0值为第二目的IP中权威应答标识位为0的权威应答标识数量，aa1值为第二目的IP中权威应答标识位为1的权威应答标识数量。

接着，执行步骤S3122，判断第二目的IP的aa0值是否低于第四阈值，且第二目的IP的aa1值是否高于第五阈值。

若判定该第二目的IP的aa0值低于第四阈值，且该第二目的IP的aa1值高于第五阈值，则执行步骤S3123，将该第二目的IP存储到递归IP集合中。

若判定该第二目的IP的aa0值高于第四阈值，且该第二目的IP的aa1值低于第五阈值，则执行步骤S3124，将该第二目的IP存储到权威IP集合中。

在执行步骤S3123以后，继续执行步骤S3125，判断递归IP集合内的IP地址的二级域名数量是否大于或等于第六阈值。

若判定递归IP集合内的IP地址的二级域名数量大于或等于第六阈值，则执行步骤S3126，确定该IP地址的域名服务类型为递归服务IP。

在执行步骤S3124以后，继续执行步骤S3127，判断权威IP集合内的IP地址的二级域名数量是否小于第六阈值；

若判定权威IP集合内的IP地址的二级域名数量小于第六阈值，则执行步骤S3128，确定该IP地址的域名服务类型为权威服务IP。

参见图6，对数据信息进行域名服务IP识别的第三流程具体包括如下步骤：

首先，执行步骤S321，判断数据信息是否存在四个方向的数据。

其中，四个方向分别为客户端到递归域名服务器、递归域名服务器到客户端、递归域名服务器到域名服务器、域名服务器到递归域名服务器。

若判定数据信息存在四个方向的数据，则执行步骤S322，确定数据信息的IP地址为递归服务IP。

在本实施例中，在上述方案中，域名系统权威域名服务器响应非递归查询，域名系统权威服务器只用已有的最佳结果进行响应，而不会代表查询者进一步查询。而对于域名系统递归服务器，如果它有请求的域名服务器没有域名的权威答案，它继续将向其他域名服务器发出递归查询，要求它们找到答案并返回，然后它自己再返回给查询者。基于上述理论，则可以利用数据中的方向，分析域名服务IP是否存在四个方向的数据。当域名服务IP存在四个方向的数据时，此IP即为递归服务IP。

参见图7，对数据信息进行域名服务IP识别的第四流程具体包括如下步骤：

首先，执行步骤S331，向数据信息发送构造查询包，获取应答包。

接着，执行步骤S332，构造非递归逆向域名请求，向应答包发送非递归逆向域名请求，获取应答包的回复信息。

最后，执行步骤S333，获取回复信息中的权威应答标识，根据权威应答标识对数据信息的IP属性进行识别。

在本实施例中，由于DNS日志中存在大量域名服务IP无法判断其是递归域名服务器还是权威域名服务器，所以增加主动探测技术来分析上述IP访问活跃度子模块、权威应答标识和解析域名数量子模块和数据方向子模块无法识别的IP。具体地，首先构建算法所需的IP特征，包括IP转化为十进制数值、IP访问活跃度、IP解析的域名数据中aa的分布情况、IP地址解析的域名数量等，然后根据上述IP特征利用机器学习算法构建一个二分类模型用来识别该输入IP是否为域名服务器IP。机器学习算法包括支持向量机(SVM)、梯度提升树(GBDT)、XGBOSOT等分类算法。在确定该输入IP为域名服务器IP以后，再对该输入IP的IP属性进行识别。

需要说明的是，上述对于域名数据信息进行域名服务IP识别的四个流程之间属于并列关系，每一个流程均代表从不同的维度对域名数据信息进行域名服务IP识别，上述四个流程对应了四个不同的维度。第一流程代表IP访问活跃度，第二流程代表权威应答标识和解析域名数量，第三流程代表数据方向，第四流程代表主动探测。经过从上述四个不同的维度对域名数据信息进行域名服务IP识别以后，可以输出递归服务IP集合和域名服务IP集合。

参见图8，对数据信息进行CDN服务IP识别的流程具体包括如下步骤：

首先，执行步骤S41，判断数据信息的域名中是否存在CDN字符串。

若判定数据信息的域名中存在CDN字符串，则执行步骤S42，根据数据信息的域名信息判断该数据信息的IP地址是否属于CDN服务IP。

其中，步骤S42具体包括如下步骤：

首先，执行步骤S421，判断数据信息的域名被其他域名解析的次数是否超过第七阈值。

若判定数据信息的域名被其他域名解析的次数超过第七阈值，则执行步骤S422，确定该数据信息的IP地址属性为CDN服务IP。

若判定数据信息的域名被其他域名解析的次数没有超过第七阈值，则执行步骤S423，判断数据信息的域名是否为CDN域名。

若判定数据信息的域名为CDN域名，则执行步骤S422，确定该数据信息的IP地址属性为CDN服务IP。

参见图9，对数据信息进行web服务IP识别具体包括如下步骤：

首先，执行步骤S51，判断数据信息的80端口是否为开放状态。若判定数据信息的80端口为开放状态，则执行步骤S52，确定该数据信息的IP属性为web服务IP。

参见图10，对数据信息进行IDC机房IP识别具体包括如下步骤：

首先，执行步骤S61，将数据信息转化为十进制数值，并将十进制数值按照从小到大的顺序进行排列。

然后，执行步骤S62，判断是否存在相邻的两个十进制数值的差值大于第八阈值。

若判定存在相邻的两个十进制数值的差值大于第八阈值，则执行步骤S63，对数据信息进行切分，得到数据段。

接着，执行步骤S64，判断数据段内开放80端口或开放443端口的占比是否超过第九阈值。

若判定数据段内开放80端口或开放443端口的占比超过第九阈值，则执行步骤S65，确定该数据段为IDC机房IP数据段。

接着，执行步骤S66，判断数据信息的IP地址是否落在IDC机房IP数据段内。

若判定数据信息的IP地址落在IDC机房IP数据段内，则执行步骤S67，确定该数据信息的IP属性为IDC机房服务IP。

IP属性识别系统实施例：

参见图11，本实施例提供的IP属性识别系统包括：

获取模块1，获取模块1用于获取数据信息，数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据；

IP属性识别模块2，IP属性识别模块2用于对数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别；

输出模块3，输出模块3用于输出IP属性识别结果，IP属性识别结果包括邮件服务器IP集合、递归服务IP集合、权威服务IP集合、CDN服务IP集合、web服务IP集合和IDC机房IP集合。

在上述方案中，该IP属性识别系统可以对获取到的所有数据信息进行IP属性分类，并按照IP属性的分类将获取的数据信息划分为若干个集合。每个集合中的数据信息的IP地址属性相同。

参见图12，IP属性识别模块2包括邮箱服务IP识别单元21、域名服务IP识别单元22、CDN服务IP识别单元23、web服务IP识别单元24和IDC机房IP识别单元25。

在本实施例中，该IP属性识别系统在进行邮箱服务IP识别的过程中，获取模块1用于获取数据信息。邮箱服务IP识别单元21用于从数据信息中提取匹配标识数据。接着，邮箱服务IP识别单元21用于提取匹配标识数据中的邮件交换类型响应数据。然后，邮箱服务IP识别单元21提取邮件交换类型响应数据中的查询域名、解析值、捕获报文的时间，对查询域名、解析值和捕获报文的时间进行分析，获取邮件地址后缀名称。接着邮箱服务IP识别单元21对邮件地址后缀名称进行分析，获取邮箱服务IP的名称。最后，邮箱服务IP识别单元21在邮件交换类型响应数据中提取邮箱服务IP的地址记录。邮箱服务IP的地址记录即为邮箱服务IP。输出模块3用于输出所有邮箱服务IP组成的IP集合。

参见图13，该IP属性识别系统在进行域名服务IP识别的过程中。通过以下四个维度来对获取模块1获取的数据信息进行域名服务IP识别，四个维度为IP访问活跃度、权威应答标识和解析域名数量、数据方向、主动探测。下面分别就这四个维度来对IP属性识别系统进行域名服务IP识别的过程进行说明。

IP访问活跃度：

域名服务IP识别单元22用于获取预设时间内数据信息的IP地址向权威服务器的访问次数并判断访问次数是否大于第一阈值。当域名服务IP识别单元22判定访问次数大于第一阈值时，域名服务IP识别单元22确定访问次数大于第一阈值的数据信息的域名IP类型为递归服务IP。

权威应答标识和解析域名数量：

首先，域名服务IP识别单元22获取数据信息的地址记录，接着判断地址记录是否为IP地址。当地址记录为IP地址时，域名服务IP识别单元22将数据信息保存到数据记录中。接着，域名服务IP识别单元22获取数据信息的域名服务器记录，将域名服务器记录的解析域名保存到域名服务器信息集合中。接着，域名服务IP识别单元22在数据记录中查询与解析域名相对应的IP地址，并将与解析域名相对应的IP地址保存到域名服务器IP集合中。接着，域名服务IP识别单元22在数据记录中过滤掉权威服务IP。接着，域名服务IP识别单元22获取IP地址数量低于第二阈值的IP地址，并将IP地址数量低于第二阈值的IP地址保存到域名IP集合中。接着，域名服务IP识别单元22计算第一目的IP的三级域名的数量。第一目的IP为不属于域名IP集合的IP地址。接着，域名服务IP识别单元22获取第二目的IP。最后，域名服务IP识别单元22根据第二目的IP的权威应答标识信息获取第二目的IP的域名IP类型。

在域名服务IP识别单元22根据第二目的IP的权威应答标识信息获取第二目的IP的域名IP类型的过程中，域名服务IP识别单元22首先获取所有第二目的IP的aa0值和aa1值，然后判断第二目的IP的aa0值是否低于第四阈值，且第二目的IP的aa1值是否高于第五阈值。当第二目的IP的aa0值低于第四阈值，且该第二目的IP的aa1值高于第五阈值时，域名服务IP识别单元22将该第二目的IP存储到递归IP集合中，然后继续判断递归IP集合内的IP地址的二级域名数量是否大于或等于第六阈值。当递归IP集合内的IP地址的二级域名数量大于或等于第六阈值时，域名服务IP识别单元22确定该IP地址的域名服务类型为递归服务IP。

当该第二目的IP的aa0值高于第四阈值，且该第二目的IP的aa1值低于第五阈值时，域名服务IP识别单元22将该第二目的IP存储到权威IP集合中。然后继续判断判断权威IP集合内的IP地址的二级域名数量是否小于第六阈值。当权威IP集合内的IP地址的二级域名数量小于第六阈值时，域名服务IP识别单元22确定该IP地址的域名服务类型为权威服务IP。

数据方向：

首先，域名服务IP识别单元22判断数据信息是否存在四个方向的数据。其中，四个方向分别为客户端到递归域名服务器、递归域名服务器到客户端、递归域名服务器到域名服务器、域名服务器到递归域名服务器。当数据信息存在四个方向的数据，域名服务IP识别单元22确定数据信息的IP地址为递归服务IP。

主动探测：

首先，域名服务IP识别单元22用于向数据信息发送构造查询包，获取应答包。接着，域名服务IP识别单元22构造非递归逆向域名请求，向应答包发送非递归逆向域名请求，获取应答包的回复信息。最后，域名服务IP识别单元22获取回复信息中的权威应答标识，根据权威应答标识对数据信息的IP属性进行识别。

在本实施例中，获取模块1用于获取数据信息，域名服务IP识别单元22用于对数据信息的域名服务IP进行识别，输出模块3用于输出递归服务IP集合和权威服务IP集合。

参见图14，该IP属性识别系统在进行CDN服务IP识别的过程中，首先，CDN服务IP识别单元23判断数据信息的域名中是否存在CDN字符串。当数据信息的域名中存在CDN字符串时，CDN服务IP识别单元23根据数据信息的域名信息判断该数据信息的IP地址是否属于CDN服务IP。然后，输出模块3用于输出CDN服务IP集合。

参见图15，该IP属性识别系统在进行web服务IP识别的过程中，首先，web服务IP识别单元24用于判断数据信息的80端口是否为开放状态。当数据信息的80端口为开放状态时，web服务IP识别单元24用于确定该数据信息的IP属性为web服务IP。输出模块3用于输出web服务IP集合。

参见图16，该IP属性识别系统在进行IDC机房IP识别的过程中，首先，IDC机房IP识别单元25将数据信息转化为十进制数值，并将十进制数值按照从小到大的顺序进行排列。然后，IDC机房IP识别单元25判断是否存在相邻的两个十进制数值的差值大于第八阈值。当存在相邻的两个十进制数值的差值大于第八阈值时，IDC机房IP识别单元25对数据信息进行切分，得到数据段。接着，IDC机房IP识别单元25判断数据段内开放80端口或开放443端口的占比是否超过第九阈值。当数据段内开放80端口或开放443端口的占比超过第九阈值时，IDC机房IP识别单元25确定该数据段为IDC机房IP数据段。接着，IDC机房IP识别单元25判断数据信息的IP地址是否落在IDC机房IP数据段内。当数据信息的IP地址落在IDC机房IP数据段内时，IDC机房IP识别单元25确定该数据信息的IP属性为IDC机房服务IP。输出模块3用于输出IDC机房IP集合。

综上所述，该IP属性识别系统可以对获取到的所有数据信息进行IP属性分类，并按照IP属性的分类将获取的数据信息划分为若干个集合。每个集合中的数据信息的IP地址属性相同。当安全事件发生时，可以直接根据IP属性类型选择对应的集合，然后对集合内部的数据进行查询，这样就可以进行重点监控，为监管单位提供一个有效的辅助工具。

计算机可读存储介质实施例：

本实施例还提出一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述的IP属性识别方法。

上述实施例的计算机装置集成的模块如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读存储介质中。基于这样的理解，实现上述IP属性识别方法实施例中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，计算机程序可存储于一计算机可读存储介质中，该计算机程序在被控制器执行时，可实现上述空调器温度补偿设置方法实施例的步骤。其中，计算机程序包括计算机程序代码，计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。存储介质可以包括：能够携带计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read－Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信号。

计算机设备实施例：

本实施例的计算机装置包括控制器，控制器执行计算机程序时实现上述IP属性识别方法实施例中的步骤。

例如，计算机程序可以被分割成一个或多个模块，一个或者多个模块被存储在存储器中，并由控制器执行，以完成本发明。一个或多个模块可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述计算机程序在计算机装置中的执行过程。

计算机装置可包括，但不仅限于，控制器、存储器。本领域技术人员可以理解，计算机装置可以包括更多或更少的部件，或者组合某些部件，或者不同的部件，例如计算机装置还可以包括输入输出设备、网络接入设备、总线等。

例如，控制器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用控制器、数字信号控制器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(FieldProgrammable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用控制器可以是微控制器或者该控制器也可以是任何常规的控制器等。控制器是计算机装置的控制中心，利用各种接口和线路连接整个计算机装置的各个部分。

存储器可用于存储计算机程序和/或模块，控制器通过运行或执行存储在存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现计算机装置的各种功能。例如，存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(例如声音接收功能、声音转换成文字功能等)等；存储数据区可存储根据手机的使用所创建的数据(例如音频数据、文本数据等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card，SMC)，安全数字(Secure Digital，SD)卡，闪存卡(FlashCard)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

上述实施例描述了本发明的技术原理，这些描述只是为了解释本发明的原理，而不能以任何方式解释为本发明保护范围的限制。基于此处的解释，本领域的技术人员不需要付出创造性的劳动即可联想到本发明的其他具体实施方式，这些方式都将落入本发明的保护范围内。

Claims (8)

1.一种IP属性识别方法,其特征在于,所述IP属性识别方法包括如下步骤：

获取数据信息,所述数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据；

对所述数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别；

输出IP属性识别结果，所述IP属性识别结果包括邮件服务器IP集合、递归服务IP集合、权威服务IP集合、CDN服务IP集合、web服务IP集合和IDC机房IP集合；

当安全事件发生时，根据IP属性类型选择对应的目标集合，对所述目标集合内部的数据进行查询；

其中，对所述数据信息进行域名服务IP识别具体包括如下步骤：获取所述数据信息的地址记录；判断所述地址记录是否为IP地址，若判定所述地址记录为IP地址，则将所述数据信息保存到数据记录中；获取所述数据信息的域名服务器记录，将所述域名服务器记录的解析域名保存到域名服务器信息集合中；在所述数据记录中查询与所述解析域名相对应的IP地址，所述IP地址为权威服务IP，并将所述权威服务IP保存到域名服务器IP集合中；在所述数据记录中过滤掉所述权威服务IP；获取IP地址数量低于第二阈值的IP地址，并将所述IP地址数量低于第二阈值的IP地址保存到域名IP集合中；计算第一目的IP的三级域名的数量，所述第一目的IP为不属于所述域名IP集合的IP地址；获取第二目的IP，所述第二目的IP为所述第一目的IP中三级域名数量大于或等于第三阈值的IP地址；根据所述第二目的IP的权威应答标识信息获取所述第二目的IP的域名IP类型；

其中，根据所述第二目的IP的权威应答标识信息获取所述第二目的IP的域名IP类型具体包括如下步骤：获取所有所述第二目的IP的aa0值和aa1值，所述aa0值为所述第二目的IP中权威应答标识位为0的权威应答标识数量，所述aa1值为所述第二目的IP中权威应答标识位为1的权威应答标识数量；判断所述第二目的IP的aa0值是否低于第四阈值，且所述第二目的IP的aa1值是否高于第五阈值；若判定该第二目的IP的aa0值低于第四阈值，且该第二目的IP的aa1值高于第五阈值，则将该第二目的IP存储到递归IP集合中，若判定该第二目的IP的aa0值高于第四阈值，且该第二目的IP的aa1值低于第五阈值，则将该第二目的IP存储到权威IP集合中；判断所述递归IP集合内的IP地址的二级域名数量是否大于或等于第六阈值；若判定所述递归IP集合内的IP地址的二级域名数量大于或等于第六阈值，则确定该IP地址的域名服务类型为递归服务IP；判断所述权威IP集合内的IP地址的二级域名数量是否小于第六阈值；若判定所述权威IP集合内的IP地址的二级域名数量小于第六阈值，则确定该IP地址的域名服务类型为权威服务IP。

2.根据权利要求1所述的IP属性识别方法,其特征在于，对所述数据信息进行邮箱服务IP识别具体包括如下步骤：

获取匹配标识数据；

提取所述匹配标识数据中的邮件交换类型响应数据；

提取所述邮件交换类型响应数据中的查询信息，对所述查询信息进行分析，获取邮件地址后缀名称；

对所述邮件地址后缀名称进行分析，获取所述邮箱服务IP的名称；

在所述邮件交换类型响应数据中提取所述邮箱服务IP的地址记录。

3.根据权利要求1所述的IP属性识别方法，其特征在于，对所述数据信息进行CDN服务IP识别具体包括如下步骤：

判断所述数据信息的域名中是否存在CDN字符串；

若判定所述数据信息的域名中存在CDN字符串，则根据所述数据信息的域名信息判断该数据信息的IP地址是否属于CDN服务IP。

4.根据权利要求3所述的IP属性识别方法，其特征在于，根据所述数据信息的域名信息判断该数据信息的IP地址是否属于CDN服务IP具体包括如下步骤：

判断所述数据信息的域名被其他域名解析的次数是否超过第七阈值；

若判定所述数据信息的域名被其他域名解析的次数超过第七阈值，则确定该数据信息的IP地址属性为CDN服务IP；

若判定所述数据信息的域名被其他域名解析的次数没有超过第七阈值，则判断所述数据信息的域名是否为CDN域名；

若判定所述数据信息的域名为CDN域名，则确定该数据信息的IP地址属性为CDN服务IP。

5.根据权利要求1所述的IP属性识别方法，其特征在于，对所述数据信息进行web服务IP识别具体包括如下步骤：

判断所述数据信息的80端口是否为开放状态，若判定所述数据信息的80端口为开放状态，则该数据信息的IP属性为web服务IP。

6.根据权利要求1所述的IP属性识别方法，其特征在于，对所述数据信息进行IDC机房IP识别具体包括如下步骤：

将所述数据信息转化为十进制数值，并将所述十进制数值按照从小到大的顺序进行排列；

判断是否存在相邻的两个十进制数值的差值大于第八阈值；

若判定存在相邻的两个十进制数值的差值大于第八阈值，则对所述数据信息进行切分，得到数据段；

判断所述数据段内开放80端口或开放443端口的占比是否超过第九阈值；

若判定所述数据段内开放80端口或开放443端口的占比超过第九阈值，则确定该数据段为IDC机房IP数据段；

判断所述数据信息的IP地址是否落在所述IDC机房IP数据段内；

若判定所述数据信息的IP地址落在所述IDC机房IP数据段内，则确定该数据信息的IP属性为IDC机房服务IP。

7.一种IP属性识别系统，其特征在于，所述IP属性识别系统包括：

获取模块，所述获取模块用于获取数据信息，所述数据信息包括客户端到递归服务器数据、递归服务器到权威服务器数据和域名服务器数据；

IP属性识别模块，所述IP属性识别模块用于对所述数据信息分别进行邮箱服务IP识别、域名服务IP识别、CDN服务IP识别、web服务IP识别、IDC机房IP识别；

输出模块，所述输出模块用于输出IP属性识别结果，所述IP属性识别结果包括邮件服务器IP集合、递归服务IP集合、权威服务IP集合、CDN服务IP集合、web服务IP集合和IDC机房IP集合；

所述IP属性识别系统还用于当安全事件发生时，根据IP属性类型选择对应的目标集合，对所述目标集合内部的数据进行查询；

其中，对所述数据信息进行域名服务IP识别具体包括如下步骤：获取所述数据信息的地址记录；判断所述地址记录是否为IP地址，若判定所述地址记录为IP地址，则将所述数据信息保存到数据记录中；获取所述数据信息的域名服务器记录，将所述域名服务器记录的解析域名保存到域名服务器信息集合中；在所述数据记录中查询与所述解析域名相对应的IP地址，所述IP地址为权威服务IP，并将所述权威服务IP保存到域名服务器IP集合中；在所述数据记录中过滤掉所述权威服务IP；获取IP地址数量低于第二阈值的IP地址，并将所述IP地址数量低于第二阈值的IP地址保存到域名IP集合中；计算第一目的IP的三级域名的数量，所述第一目的IP为不属于所述域名IP集合的IP地址；获取第二目的IP，所述第二目的IP为所述第一目的IP中三级域名数量大于或等于第三阈值的IP地址；根据所述第二目的IP的权威应答标识信息获取所述第二目的IP的域名IP类型；

其中，根据所述第二目的IP的权威应答标识信息获取所述第二目的IP的域名IP类型具体包括如下步骤：获取所有所述第二目的IP的aa0值和aa1值，所述aa0值为所述第二目的IP中权威应答标识位为0的权威应答标识数量，所述aa1值为所述第二目的IP中权威应答标识位为1的权威应答标识数量；判断所述第二目的IP的aa0值是否低于第四阈值，且所述第二目的IP的aa1值是否高于第五阈值；若判定该第二目的IP的aa0值低于第四阈值，且该第二目的IP的aa1值高于第五阈值，则将该第二目的IP存储到递归IP集合中，若判定该第二目的IP的aa0值高于第四阈值，且该第二目的IP的aa1值低于第五阈值，则将该第二目的IP存储到权威IP集合中；判断所述递归IP集合内的IP地址的二级域名数量是否大于或等于第六阈值；若判定所述递归IP集合内的IP地址的二级域名数量大于或等于第六阈值，则确定该IP地址的域名服务类型为递归服务IP；判断所述权威IP集合内的IP地址的二级域名数量是否小于第六阈值；若判定所述权威IP集合内的IP地址的二级域名数量小于第六阈值，则确定该IP地址的域名服务类型为权威服务IP。

8.一种计算机设备，其特征在于，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如权利要求1-6任一项所述的IP属性识别方法。

Images