CN114844722B - 基于域名的网络安全检测方法 - Google Patents

Abstract

本发明属于计算机领域，涉及网络安全技术，用于解决现有的基于域名的网络安全检测方法无法对网络攻击进行预测的问题，具体是基于域名的网络安全检测方法及系统，包括安全监测平台，所述安全监测平台通信连接有流量采集模块、流量分析模块、规律分析模块、安全检测模块以及态势评估模块；所述流量采集模块用于对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分，流量分析模块用于解析流量采集模块获取的流量，获取安全分析所需的安全要素信息；本发明通过对用户设备进行域名检测，对目标IP地址的域名进行分析来对用户设备的网络连接安全性能进行监测，进而在出现网络安全风险时可以及时预警。

Description

基于域名的网络安全检测方法

技术领域

本发明属于计算机领域，涉及网络安全技术，具体是基于域名的网络安全检测方法及系统。

背景技术

网络安全态势感知是利用多元素数据的融合、海量数据的挖掘、基于人工智能的数据分析以及对数据进行可视化的技术，很直接的为网络安全人员提供可视化的网络环境实时的安全状况，感知出网络状态下可能存在的威胁和风险，给网络安全提供一个可靠及时的保障。通过使用网络安全态势感知技术，网络安全人员可以实时的了解当前的网络状态、受到的攻击类型、攻击发生的时间、攻击源、哪些网络设备容易受到攻击等各种攻击情况。

现有的基于域名的网络安全检测方法不具备根据网络状态、受到的攻击类型、攻击发生的时间等信息进行规律分析得到攻击规律的功能，因此现有的基于域名的网络安全检测方法无法对网络攻击进行预测，进而也就无法提前进行防护。

针对上述技术问题，本申请提出一种解决方案。

发明内容

本发明的目的在于提供基于域名的网络安全检测方法及系统，用于解决现有的基于域名的网络安全检测方法无法对网络攻击进行预测的问题；

本发明需要解决的技术问题为：如何提供一种可以进行攻击规律与预测分析的网络安全检测方法。

本发明的目的可以通过以下技术方案实现：

基于域名的网络安全检测方法，包括以下步骤：

步骤一：流量采集模块对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分，流量分析模块解析流量采集模块获取的流量，获取安全分析所需的安全要素信息；

步骤二：安全检测模块对用户设备进行域名检测并在用户设备存在网络安全风险时将安全风险信号发送至安全监测平台，安全监测平台接收到安全风险信号后将安全风险信号发送至态势评估模块；

步骤三：态势评估模块接收到安全风险信号后对用户设备的整体安全态势进行监测分析并得到恶意比，通过恶意比的数值大小对用户设备的域名安全整体是否合格进行判定；

步骤四：用户设备的域名安全整体不合格时，规律分析模块对监测时段内用户设备受到的恶意域名访问进行规律分析并在用户设备受到恶意域名访问存在规律时对监测时段进行深度分析。

作为本发明的一种优选实施方式，基于域名的网络安全检测系统，包括安全监测平台，所述安全监测平台通信连接有流量采集模块、流量分析模块、规律分析模块、安全检测模块以及态势评估模块；

所述流量采集模块用于对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分；

流量分析模块用于解析流量采集模块获取的流量，获取安全分析所需的安全要素信息；

安全检测模块用于对用户设备进行域名检测；

态势评估模块用于对用户设备的整体安全态势进行监测分析；

规律分析模块用于对监测时段内用户设备受到的恶意域名访问进行规律分析。

作为本发明的一种优选实施方式，安全检测模块进行域名检测的具体过程包括：获得用户设备对第一目标域名解析出的目标互联网协议IP地址；反向解析目标IP地址，获得目标IP地址对应的多个第二目标域名；判断第一目标域名是否与其中一个第二目标域名一致；若第一目标域名与多个第二目标域名均不匹配，判定用户设备存在网络安全风险，安全检测模块将安全风险信号发送至安全监测平台，安全监测平台接收到安全风险信号后将安全风险信号发送至态势评估模块。

作为本发明的一种优选实施方式，态势评估模块对用户设备的整体安全态势进行监测分析的具体过程包括：将检测时长标记为监测时段i，i＝1，2，…， n，n为正整数，获取监测时段i内用户设备受到的恶意域名访问次数并标记为恶意值EYi，通过存储模块获取到恶意阈值EYmax，将监测时段i的恶意值EYi 与恶意阈值EYmax进行比较并通过比较结果将监测时段标记为正常时段或恶意时段；获取恶意时段的数量并标记为m，将m与n的比值标记为恶意比，将恶意比与整体阈值进行比较并通过比较结果对用户设备的域名安全整体是否合格进行判定。

作为本发明的一种优选实施方式，监测时段i的恶意值EYi与恶意阈值 EYmax进行比较的具体过程包括：

若恶意值EYi小于恶意阈值EYmax，则判定对应监测时段i内的域名安全合格，将对应的监测时段标记为正常时段；

若恶意值EYi大于等于恶意阈值EYmax，则判定对应监测时段i的域名安全不合格，将对应的监测时段标记为恶意时段。

作为本发明的一种优选实施方式，恶意比与整体阈值进行比较的具体过程包括：

若恶意比小于整体阈值，则判定用户设备的域名安全整体合格，态势评估模块向安全监测平台发送域名安全信号；

若恶意比大于等于整体阈值，则判定用户设备的域名安全整体不合格，态势评估模块向安全监测平台发送域名不安全信号，安全监测平台接收到域名不安全信号后生成规律分析信号并将规律分析信号发送至规律分析模块。

作为本发明的一种优选实施方式，规律分析模块对监测时段内用户设备受到的恶意域名访问进行规律分析的具体过程包括：以检测时长为X轴、恶意值为Y轴建立直角坐标系，将监测时段i的结束时间作为横坐标、监测时段i的恶意值作为纵坐标在直角坐标系中进行标点得到n个监测点，监测点的坐标为 (JSi，EYi)，在直角坐标系的Y轴上选取纵坐标为恶意阈值EYmax的点作为端点，在直角坐标系的第二象限作出一条与X轴平行的射线并标记为平衡线，将位于平衡线上侧的监测点标记为恶意点，将恶意点的横坐标值建立恶意集合，对恶意集合进行方差计算得到规律系数，将规律系数与规律阈值进行比较：若规律系数小于规律阈值，则判定用户设备受到恶意域名访问存在规律，对监测时段进行深度分析；若规律系数大于规律阈值，则判定用户设备受到恶意域名访问不存在规律，规律分析模块向安全监测平台发送随机信号。

作为本发明的一种优选实施方式，对监测时段进行深度分析的具体过程包括：在直角坐标系中选取两条与X轴相垂直的射线并标记为第一横移线与第二横移线；第一横移线的初始位置与Y轴重合，第二横移线的位置位于直角坐标系的第二现象且与第一横移线的距离值为L1，将第一横移线与第二横移线同步向右侧移动，实时获取位于第一横移线与第二横移线之间的恶意点的数量，将恶意点数量最大时第一横移线、第二横移线与X轴交点的横坐标分别标记为HY1 与HY2，将HY1与HY2标记为规律时刻，将两个规律时刻构成的时间段标记为规律时段，规律分析模块将规律时段发送至安全监测平台，安全监测平台接收到规律时段后将规律时段发送至管理人员的手机终端。

本发明具备下述有益效果：

1、通过对用户设备进行域名检测，对目标IP地址的域名进行分析来对用户设备的网络连接安全性能进行监测，进而在出现网络安全风险时可以及时预警，防止用户设备受到网络攻击；

2、通过态势评估模块可以在接收到安全预警的情况下结合近期的攻击情况对用户设备的整体状态进行分析，通过用户设备近期受到的恶意域名访问的频率对整体是否合格进行判定，进而保证用户设备的网络安全性；

3、通过规律分析模块可以对用户设备受到的恶意域名访问进行规律分析，从而对用户设备受到的恶意域名访问是否存在规律进行判定，在存在规律的情况下进行深度分析，通过深度分析的结果获取到规律时段，结合规律时段即可对后续的恶意域名访问进行预测与提前防护。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一的系统框图；

图2为本发明实施例二的方法流程图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

网络安全态势感知是利用多元素数据的融合、海量数据的挖掘、基于人工智能的数据分析以及对数据进行可视化的技术，很直接的为网络安全人员提供可视化的网络环境实时的安全状况，感知出网络状态下可能存在的威胁和风险，给网络安全提供一个可靠及时的保障。通过使用网络安全态势感知技术，网络安全人员可以实时的了解当前的网络状态、受到的攻击类型、攻击发生的时间、攻击源、哪些网络设备容易受到攻击等各种攻击情况。这样，网络安全人员可以很清晰的对已有的网络攻击和可能发生的网络攻击进行防范。网络使用者可以对当前的网络状态和趋势有一个较为清晰的了解，这样就能对可能发生的威胁做好及时的防范准备，从而避免或尽量减少网络中的恶意攻击，这样就能将损失降到最低。

实施例一

如图1所示，基于域名的网络安全检测系统，包括安全监测平台，安全监测平台通信连接有流量采集模块、流量分析模块、特征提取模块、规律分析模块、安全检测模块以及态势评估模块。

流量采集模块用于对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分。

流量分析模块用于解析流量采集模块获取的流量，获取安全分析所需的安全要素信息。

特征分析模块用于对流量分析模块获取的安全要素信息进行特征提取，该模块的特征提取每隔一段时间进行，间隔时间可由用户设定。

安全检测模块用于进行域名检测：获得用户设备对第一目标域名解析出的目标互联网协议IP地址；反向解析目标IP地址，因特网是全世界范围内的计算机连为一体而构成的通信网络的总称，连在某个网络上的两台计算机之间在相互通信时，在它们所传送的数据包里都会含有某些附加信息，这些附加信息其实就是发送数据的计算机的地址和接受数据的计算机的地址，人们为了通信的方便给每一台计算机都事先分配一个类似我们日常生活中的电话号码一样的标识地址，该标识地址就是IP地址。获得目标IP地址对应的多个第二目标域名；域名又称网域，是由一串用点分隔的名字组成的Internet上某一台计算机或计算机组的名称，用于在数据传输时对计算机的定位标识；判断第一目标域名是否与其中一个第二目标域名一致；当第一目标域名与多个第二目标域名均不匹配时，确定用户设备存在网络安全风险，安全检测模块将安全风险信号发送至安全监测平台，安全监测平台接收到安全风险信号后将安全风险信号发送至态势评估模块；对目标IP地址的域名进行分析来对用户设备的网络连接安全性能进行监测，进而在出现网络安全风险时可以及时预警，防止用户设备受到网络攻击。

态势评估模块接收到安全风险信号后对用户设备的整体安全态势进行监测分析：将检测时长标记为监测时段i，i＝1，2，…，n，n为正整数，获取监测时段i内用户设备受到的恶意域名访问次数并标记为恶意值EYi，通过存储模块获取到恶意阈值EYmax，将监测时段i的恶意值EYi与恶意阈值EYmax进行比较：若恶意值EYi小于恶意阈值EYmax，则判定对应监测时段i内的域名安全合格，将对应的监测时段标记为正常时段；若恶意值EYi大于等于恶意阈值EYmax，则判定对应监测时段i的域名安全不合格，将对应的监测时段标记为恶意时段；获取恶意时段的数量并标记为m，将m与n的比值标记为恶意比，恶意比是一个反应用户设备的整体网络安全程度的数值，恶意比的数值越小，则表示用户设备的整体网络越安全；整体阈值与恶意阈值均为数量常量，其数值大小由管理人员自行设置；将恶意比与整体阈值进行比较：若恶意比小于整体阈值，则判定用户设备的域名安全整体合格，态势评估模块向安全监测平台发送域名安全信号；若恶意比大于等于整体阈值，则判定用户设备的域名安全整体不合格，态势评估模块向安全监测平台发送域名不安全信号，安全监测平台接收到域名不安全信号后生成规律分析信号并将规律分析信号发送至规律分析模块；在接收到安全预警的情况下结合近期的攻击情况对用户设备的整体状态进行分析，通过用户设备近期受到的恶意域名访问的频率对整体是否合格进行判定，进而保证用户设备的网络安全性。

规律分析模块接收到规律分析信号后对监测时段内用户设备受到的恶意域名访问进行规律分析：以检测时长为X轴、恶意值为Y轴建立直角坐标系，将监测时段i的结束时间作为横坐标、监测时段i的恶意值作为纵坐标在直角坐标系中进行标点得到n个监测点，监测点的坐标为(JSi，EYi)，在直角坐标系的Y轴上选取纵坐标为恶意阈值EYmax的点作为端点，在直角坐标系的第二象限作出一条与X轴平行的射线并标记为平衡线，将位于平衡线上侧的监测点标记为恶意点，将恶意点的横坐标值建立恶意集合，对恶意集合进行方差计算得到规律系数，规律系数是一个反应恶意域名访问存在规律的可能性的数值，规律系数的数值越小，则表示恶意域名访问存在规律的可能性就越大；规律阈值是一个数值常量，其数值大小由管理人员自行设置；将规律系数与规律阈值进行比较：若规律系数小于规律阈值，则判定用户设备受到恶意域名访问存在规律，对监测时段进行深度分析；若规律系数大于规律阈值，则判定用户设备受到恶意域名访问不存在规律，规律分析模块向安全监测平台发送随机信号；对监测时段进行深度分析的具体过程包括：在直角坐标系中选取两条与X轴相垂直的射线并标记为第一横移线与第二横移线；第一横移线的初始位置与Y轴重合，第二横移线的位置位于直角坐标系的第二现象且与第一横移线的距离值为L1，将第一横移线与第二横移线同步向右侧移动，实时获取位于第一横移线与第二横移线之间的恶意点的数量，将恶意点数量最大时第一横移线、第二横移线与X轴交点的横坐标分别标记为HY1与HY2，将HY1与HY2标记为规律时刻，将两个规律时刻构成的时间段标记为规律时段，规律分析模块将规律时段发送至安全监测平台，安全监测平台接收到规律时段后将规律时段发送至管理人员的手机终端；对用户设备受到的恶意域名访问进行规律分析，从而对用户设备受到的恶意域名访问是否存在规律进行判定，在存在规律的情况下进行深度分析，通过深度分析的结果获取到规律时段，结合规律时段即可对后续的恶意域名访问进行预测与提前防护。

实施例二

如图2所示，基于域名的网络安全检测方法，包括以下步骤：

步骤一：流量采集模块对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分，流量分析模块解析流量采集模块获取的流量，获取安全分析所需的安全要素信息；

步骤二：安全检测模块对用户设备进行域名检测并在用户设备存在网络安全风险时将安全风险信号发送至安全监测平台，安全监测平台接收到安全风险信号后将安全风险信号发送至态势评估模块，在出现网络安全风险时可以及时预警，防止用户设备受到网络攻击；

步骤三：态势评估模块接收到安全风险信号后对用户设备的整体安全态势进行监测分析并得到恶意比，通过恶意比的数值大小对用户设备的域名安全整体是否合格进行判定，保证用户设备的网络安全性；

步骤四：用户设备的域名安全整体不合格时，规律分析模块对监测时段内用户设备受到的恶意域名访问进行规律分析并在用户设备受到恶意域名访问存在规律时对监测时段进行深度分析，通过深度分析的结果获取到规律时段，结合规律时段即可对后续的恶意域名访问进行预测与提前防护。

基于域名的网络安全检测方法及系统，工作时，流量采集模块对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分，流量分析模块解析流量采集模块获取的流量，获取安全分析所需的安全要素信息；安全检测模块对用户设备进行域名检测并在用户设备存在网络安全风险时将安全风险信号发送至安全监测平台，安全监测平台接收到安全风险信号后将安全风险信号发送至态势评估模块；态势评估模块接收到安全风险信号后对用户设备的整体安全态势进行监测分析并得到恶意比，通过恶意比的数值大小对用户设备的域名安全整体是否合格进行判定；用户设备的域名安全整体不合格时，规律分析模块对监测时段内用户设备受到的恶意域名访问进行规律分析并在用户设备受到恶意域名访问存在规律时对监测时段进行深度分析。

以上内容仅仅是对本发明结构所作的举例和说明，所属本技术领域的技术人员对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，只要不偏离发明的结构或者超越本权利要求书所定义的范围，均应属于本发明的保护范围。

在本说明书的描述中，参考术语“一个实施例”、“示例”、“具体示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上公开的本发明优选实施例只是用于帮助阐述本发明。优选实施例并没有详尽叙述所有的细节，也不限制该发明仅为的具体实施方式。显然，根据本说明书的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本发明。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims (1)

1.基于域名的网络安全检测方法，其特征在于，包括以下步骤：

步骤一：流量采集模块对应用数据库接收到的数据进行流量采集、流量过滤、流量存储、流量清洗和流量切分，流量分析模块解析流量采集模块获取的流量，获取安全分析所需的安全要素信息；

步骤二：安全检测模块对用户设备进行域名检测并在用户设备存在网络安全风险时将安全风险信号发送至安全监测平台，安全监测平台接收到安全风险信号后将安全风险信号发送至态势评估模块；

步骤三：态势评估模块接收到安全风险信号后对用户设备的整体安全态势进行监测分析并得到恶意比，通过恶意比的数值大小对用户设备的域名安全整体是否合格进行判定；

步骤四：用户设备的域名安全整体不合格时，规律分析模块对监测时段内用户设备受到的恶意域名访问进行规律分析并在用户设备受到恶意域名访问存在规律时对监测时段进行深度分析；

规律分析模块对监测时段内用户设备受到的恶意域名访问进行规律分析的具体过程包括：以检测时长为X轴、恶意值为Y轴建立直角坐标系，将监测时段i的结束时间作为横坐标、监测时段i的恶意值作为纵坐标在直角坐标系中进行标点得到n个监测点，监测点的坐标为（JSi，EYi），在直角坐标系的Y轴上选取纵坐标为恶意阈值EYmax的点作为端点，在直角坐标系的第二象限作出一条与X轴平行的射线并标记为平衡线，将位于平衡线上侧的监测点标记为恶意点，将恶意点的横坐标值建立恶意集合，对恶意集合进行方差计算得到规律系数，将规律系数与规律阈值进行比较：若规律系数小于规律阈值，则判定用户设备受到恶意域名访问存在规律，对监测时段进行深度分析；若规律系数大于规律阈值，则判定用户设备受到恶意域名访问不存在规律，规律分析模块向安全监测平台发送随机信号；

对监测时段进行深度分析的具体过程包括：在直角坐标系中选取两条与X轴相垂直的射线并标记为第一横移线与第二横移线；第一横移线的初始位置与Y轴重合，第二横移线的位置位于直角坐标系的第二现象且与第一横移线的距离值为L1，将第一横移线与第二横移线同步向右侧移动，实时获取位于第一横移线与第二横移线之间的恶意点的数量，将恶意点数量最大时第一横移线、第二横移线与X轴交点的横坐标分别标记为HY1与HY2，将HY1与HY2标记为规律时刻，将两个规律时刻构成的时间段标记为规律时段，规律分析模块将规律时段发送至安全监测平台，安全监测平台接收到规律时段后将规律时段发送至管理人员的手机终端。

Images