WO2021208570A1 - 一种基于dns缓存探测的物联网终端安全管控方法及装置 - Google Patents

一种基于dns缓存探测的物联网终端安全管控方法及装置 Download PDF

Info

Publication number
WO2021208570A1
WO2021208570A1 PCT/CN2021/075288 CN2021075288W WO2021208570A1 WO 2021208570 A1 WO2021208570 A1 WO 2021208570A1 CN 2021075288 W CN2021075288 W CN 2021075288W WO 2021208570 A1 WO2021208570 A1 WO 2021208570A1
Authority
WO
WIPO (PCT)
Prior art keywords
dns
cache
detection
server
domain name
Prior art date
Application number
PCT/CN2021/075288
Other languages
English (en)
French (fr)
Inventor
孙昌华
李霁远
李沁园
吕磅
戴桦
孙歆
韩嘉佳
Original Assignee
国网浙江省电力有限公司电力科学研究院
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 国网浙江省电力有限公司电力科学研究院 filed Critical 国网浙江省电力有限公司电力科学研究院
Publication of WO2021208570A1 publication Critical patent/WO2021208570A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y40/00—IoT characterised by the purpose of the information processing
    • G16Y40/10—Detection; Monitoring
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y40/00—IoT characterised by the purpose of the information processing
    • G16Y40/30—Control
    • G16Y40/35—Management of things, i.e. controlling in accordance with a policy or in order to achieve specified objectives
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y40/00—IoT characterised by the purpose of the information processing
    • G16Y40/50—Safety; Security of things, users, data or systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • the invention relates to a method and a device for managing and controlling the security of an Internet of Things terminal based on DNS cache detection, and belongs to the technical field of power grid terminal security.
  • Patent No. CN105681482A discloses a method for correcting DNS cache detection errors, which provides a more accurate estimate of the user size on the server without the need to obtain server logs or monitor real network traffic.
  • the above method only discloses how to estimate the scale of users, and does not disclose how to control the security management of the Internet of Things, that is, how to monitor the communication requests of malicious programs of the power Internet of Things terminal, and how to find that the threat domain name related scheme has not been disclosed.
  • the DNS cache detection method performed on the detection server by the above method will cause operator DNS cache hijacking in practical applications.
  • the operator will intercept and forward the DNS request sent by the detection server to the operator's self-built DNS server, and then the operator returns the resolution request to the detection server by modifying the target address.
  • the carrier's DNS cache hijacking process makes it impossible to send detection data to the monitored DNS server, which greatly reduces the accuracy of cache detection results, and it is impossible to obtain the cached data on the DNS server that actually needs to be detected.
  • the purpose of the present invention is to provide a lightweight DNS cache detection technology that does not rely on traffic analysis to monitor the communication requests of malicious programs of the power Internet of Things terminal, so as to realize the threat that is not restricted by the terminal type.
  • Domain name discovery meets the requirements for cross-platform and cross-equipment detection in the ubiquitous power Internet of Things environment, and improves the detection capabilities of potential network threats and covert communications.
  • Another object of the present invention is to provide a method for setting up a cache detection server in the network and capturing packets.
  • the detection server first sends the agreed DNS request data to the cache detection server. If the cache detection server receives the agreed DNS sent by the detection server When requesting data, it is determined that there is no operator DNS cache hijacking in the communication link, and the detection server sends a cache detection request to the detected DNS server;
  • the cache detection server fails to receive the agreed DNS request data within a unit time, the cache detection server will notify the detection server that there is operator DNS cache hijacking. At this time, the cache detection server will turn on the global proxy mode and pass the preset no operator The DNS cache hijacking link sends a cache detection request to the detected DNS server, which can effectively improve the accuracy of cache detection results, and can accurately obtain the actual cache data on the DNS server that needs to be detected.
  • DNS cache detection-based IoT terminal security management and control method and device .
  • the detection server sends a cache detection request to the detected DNS server
  • the detection server first sends the agreed DNS request data to the cache detection server; if the cache detection server receives the agreed DNS request data sent by the detection server, it will determine that there is no communication link. There is operator DNS cache hijacking, and the detection server sends a cache detection request to the detected DNS server;
  • the cache detection server fails to receive the agreed DNS request data within a unit time, the cache detection server will notify the detection server that there is operator DNS cache hijacking. At this time, the cache detection server will turn on the global proxy mode and pass the preset no operator The DNS cache hijacking link sends a cache detection request to the detected DNS server.
  • the second step is to obtain a list of domain names to be detected from a trusted threat intelligence database
  • the third step is to detect the cache of the detected DNS server, including:
  • the domain name is obtained from the list of domain names to be detected and then the cache query request is sent to the detected DNS server, and the detection result is recorded and processed;
  • the fourth step is to calculate the total sending rate of DNS queries through a series of cache update times
  • the fifth step is to evaluate how many terminals in the network have accessed a certain threat domain name or infected with similar malicious programs within a period of time, so that customers can determine the scope of impact in time and form an emergency response plan;
  • the sixth step is to ensure that the current network environment is safe, and continue to monitor, evaluate, and warn of threats to domain names and malicious programs in the network.
  • the invention relies on DNS cache detection technology to identify and perceive the security threats and risks faced by the network, realize online detection of ubiquitous terminal threats under the condition of no flow mirroring, and meet the ubiquitous power Internet of Things environment for cross-platform and cross-equipment terminal threats The demand for detection enhances the company's internal network security threat detection capabilities.
  • the intention and content of malicious communication can be inferred in depth, and the network area and power infrastructure types of key attacks by ubiquitous threats can be accurately predicted and early warning, and the present invention has a wide application range.
  • the invention adds the function of detecting the operator's DNS cache hijacking, can effectively improve the accuracy of the cache detection result, can accurately obtain the cache data on the DNS server that actually needs to be detected, and further improve the security of the Internet of Things terminal.
  • the cache update time is recorded in a one-dimensional array. For all elements in the array, the difference between the next element and the previous element of the array is calculated, and the difference is obtained by summing these differences. The cache update time.
  • the interval time they send DNS queries for domain name S is an independent and identically distributed random variable
  • the modeling data set After obtaining the modeling data set, use the following steps to estimate the rate c of DNS queries sent by a single host for the domain name S: the modeling data set includes the inter-arrival time of DNS queries sent by each host for the domain name S;
  • the parameter of the exponential distribution function is the rate at which a single host sends DNS queries for the domain name S.
  • the interval time they send DNS queries of domain name q is an independent and identically distributed random variable; the interval time of a single host sending DNS queries of domain name S conforms to the exponential distribution.
  • the interval between n clients sending DNS queries is an independent and identically distributed exponential random variable
  • n the number of hosts accessing the domain name; therefore, the total average rate ⁇ of the gamma distribution Gamma(n, ⁇ ) conforms to the following formula:
  • the interval time for each host to send DNS queries of the domain name S is an independent and identically distributed exponential random variable; through this property of the exponential random variable, a conclusion can be drawn: if X 1 +...+X n has a mean value of 1/ ⁇ Is an independent and identically distributed exponential random variable, then X 1 +...+X n is a gamma distribution with parameters n and ⁇ ;
  • the probability density function of the random variable X of the gamma distribution is:
  • the gamma function is defined as:
  • the main control module is used to process command line parameters, detect DNS server status, coordinate other modules, and control the concurrency of programs;
  • the DNS hijacking detection module is used to set up a cache detection server in the network and capture packets.
  • the detection server first sends the agreed DNS request data to the cache detection server.
  • the agreed data is dnsjiance98123dnsjian.xyz. If the cache detection server receives the agreed DNS request data sent by the detection server, it determines that there is no carrier DNS cache hijacking in the communication link, and the detection server sends a cache detection request to the detected DNS server; if the cache detection server is within the unit time If the agreed DNS request data is not received, the cache detection server will notify the detection server that there is operator DNS cache hijacking, and the cache detection server will start the global proxy mode at this time;
  • the domain name information acquisition module is used to acquire the list of domain names to be detected from the trusted threat intelligence database, and load it into the main control module in a queue;
  • the detection module is used to detect the cache of the detected DNS server, by setting the recursive query flag in the DNS request packet, and then obtain the domain name from the list of domain names to be detected, and then send a cache query request to the DNS server to be detected, and record it And processing the detection results;
  • the calculating total sending rate module calculates the total sending rate of DNS query of the domain name according to the detection result; this module uses a series of cache update time obtained by the detecting module to calculate the total sending rate of DNS query.
  • the update time of the cache is recorded in a one-dimensional array
  • the workflow of the entire IoT terminal security control device is to calculate the difference between the last element and the previous element in the array for all elements in the array, and The cache update time is obtained by summing these differences.
  • the present invention has the following beneficial effects:
  • the results of the present invention rely on DNS cache detection technology to identify and perceive the security threats and risks faced by the network, realize online detection of ubiquitous terminal threats under the condition of no flow mirroring, and meet the requirements of cross-platform and cross-equipment terminals in the ubiquitous power Internet of Things environment. Threat detection needs to enhance the company's internal network security threat detection capabilities.
  • the invention adds the function of detecting the operator's DNS cache hijacking, can effectively improve the accuracy of the cache detection result, can accurately obtain the cache data on the DNS server that actually needs to be detected, and further improve the security of the Internet of Things terminal.
  • Figure 1 is a working flow chart of the present invention
  • Fig. 2 is a diagram of management and control applying the present invention.
  • the detection server sends a cache detection request to the detected DNS server
  • the second step is to obtain a list of domain names to be detected from a trusted threat intelligence database
  • the third step is to detect the cache of the detected DNS server, including:
  • the fourth step is to calculate the total sending rate of DNS queries through a series of cache update times
  • the fifth step is to evaluate how many terminals in the network have accessed a certain threat domain name or infected with similar malicious programs within a period of time, so that customers can determine the scope of impact in time and form an emergency response plan;
  • the sixth step is that there is no malicious domain name resolution request in the current network environment, and continue to monitor, evaluate and warn the threat situation of threatening domain names and malicious programs in the network.
  • the results of the present invention rely on DNS cache detection technology to identify and perceive the security threats and risks faced by the network, realize online detection of ubiquitous terminal threats under the condition of no flow mirroring, and meet the requirements of cross-platform and cross-equipment terminals in the ubiquitous power Internet of Things environment. Threat detection needs to enhance the company's internal network security threat detection capabilities.
  • the present invention does not need to monitor the characteristics of traffic and logs, it can be deployed in the Internet to alert the energy industry, national and even global malicious program threat events. Therefore, State Grid Corporation can continue to play its role as a pioneer in network security among central enterprises, export security early warning capabilities to national regulatory agencies, and enhance work highlights.
  • the present invention adds a specific embodiment for detecting the operator's DNS cache hijacking function:
  • the first step is to set up a cache detection server in the network and perform packet capture.
  • the detection server first sends the agreed DNS request data to the cache detection server. If the cache detection server receives the agreed DNS request data sent by the detection server, then Determine that there is no carrier DNS cache hijacking in the communication link, and then the detection server sends a cache detection request to the detected DNS server;
  • the cache detection server fails to receive the agreed DNS request data within a unit time, the cache detection server will notify the detection server that there is operator DNS cache hijacking. At this time, the cache detection server will turn on the global proxy mode and pass the preset no operator The DNS cache hijacking link sends a cache detection request to the detected DNS server.
  • the invention adds the function of detecting the operator's DNS cache hijacking, can effectively improve the accuracy of the cache detection result, can accurately obtain the cache data on the DNS server that actually needs to be detected, and further improve the security of the Internet of Things terminal.
  • the update time of the cache is recorded in a one-dimensional array. For all elements in the array, the cache is obtained by calculating the difference between the next element and the previous element of the array, and summing these differences. Update time.
  • the interval time they send DNS queries for domain name S is an independent and identically distributed random variable
  • (1) calculate the DNS query interval time sequence for each host to send the domain name S; where the modeling data set includes domain name information and the sending time, return time, sending rate, and resolution of the domain name sent by each host Status and analytical information;
  • the parameter of the exponential distribution function is the rate at which a single host sends DNS queries for the domain name S.
  • the interval time they send DNS queries of domain name q is an independent and identically distributed random variable; the interval time of a single host sending DNS queries of domain name S conforms to the exponential distribution.
  • the interval between n clients sending DNS queries is an independent and identically distributed exponential random variable
  • n the number of hosts accessing the domain name; therefore, the total average rate ⁇ of the gamma distribution Gamma(n, ⁇ ) conforms to the following formula:
  • the interval time for each host to send DNS queries of the domain name S is an independent and identically distributed exponential random variable; through this property of the exponential random variable, a conclusion can be drawn: if X 1 +...+X n has a mean value of 1/ ⁇ Is an independent and identically distributed exponential random variable, then X 1 +...+X n is a gamma distribution with parameters n and ⁇ ;
  • the probability density function of the random variable X of the gamma distribution is:
  • the gamma function is defined as:
  • the main control module is used to process command line parameters, detect DNS server status, coordinate other modules, and control the concurrency of programs;
  • the DNS hijacking detection module is used to set up a cache detection server in the network and capture packets.
  • the detection server first sends the agreed DNS request data to the cache detection server.
  • the agreed data is dnsjiance98123dnsjian.xyz;
  • the domain name information acquisition module is used to acquire the list of domain names to be detected from the trusted threat intelligence database, and load it into the main control module in a queue;
  • the detection module is used to detect the DNS cache, by setting the recursive query flag in the DNS request packet, and then obtaining the domain name from the list of domain names to be detected and sending a cache query request to the DNS server to be detected, and recording and processing the detection results ;
  • the calculating total sending rate module calculates the total sending rate of DNS query of the domain name according to the detection result; this module uses a series of cache update time obtained by the detecting module to calculate the total sending rate of DNS query.
  • the cache update time is recorded in a one-dimensional array; the workflow of the entire IoT terminal security control device is to calculate the difference between the last element and the previous element of the array for all elements in the array, and calculate these differences with.
  • the main control module may be a processor or a control chip; wherein, the main control module is used to execute storage
  • DNS hijacking detection module is used to set up a cache detection server in the network and capture packets. The detection server first sends the agreed DNS request data to the cache detection server.
  • the agreed data is dnsjiance98123dnsjian.xyz; domain name information acquisition
  • the module is used to obtain the list of domain names to be detected from the trusted threat intelligence database and load it into the main control module in a queue;
  • the detection module is used to detect the DNS cache, and the recursive query is turned off by setting in the DNS request packet Flag bit, after obtaining the domain name from the list of domain names to be detected, it sends a cache query request to the DNS server to be detected, and records and processes the detection results;
  • the calculation total sending rate module calculates the total DNS query sending speed of the domain name according to the detection results; this module uses A series of cache update times obtained by the detection module are used to calculate the total sending rate of DNS queries.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Virology (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于DNS缓存探测的物联网终端安全管控方法及装置，属于电网终端安全技术领域。本发明基于DNS缓存探测的物联网终端安全管控方法，能够对DNS缓存进行探测，通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向待检测DNS服务器发送缓存查询请求，并记录和处理探测结果；当前网络环境中不存在恶意域名解析请求，继续对网络中威胁域名和恶意程序威胁态势进行监控、评估、预警。本发明成果凭借DNS缓存探测技术，对网络面临的安全威胁和风险进行识别感知，实现无流量镜像条件下泛在终端威胁在线检测，满足泛在电力物联网环境下对跨平台、跨装备的终端威胁检测的需求，提升公司内部网络安全威胁检测能力。

Description

一种基于DNS缓存探测的物联网终端安全管控方法及装置 技术领域
本发明涉及一种基于DNS缓存探测的物联网终端安全管控方法及装置，属于电网终端安全技术领域。
背景技术
传统windows、Linux等系统可以通过安装杀毒软件实现终端管控，但泛在物联网设备种类不同、型号各异、嵌入式系统各异，导致传统的补丁升级、病毒防御、端点保护等技术无法发挥防御效果。
中国专利(专利号CN105681482A)公开了一种DNS缓存探测误差修正方法，在不需要获得服务器的日志或者监听真实网络流量的前提下，给出服务器上用户规模的较准确估计值。
但是上述方法只公开了如何对用户规模进行估计，没有公开如何对物联网的安全管理控制，即如何对电力物联网终端恶意程序通信请求进行监控，如何发现威胁域名相关方案没有被公开。
进一步，上述方法在探测服务器上进行的DNS缓存探测方法在实际应用中会出现运营商DNS缓存劫持，运营商为了节省宽带结算费用，会将探测服务器发送的DNS请求拦截转发到运营商自建的DNS服务器，而后运营商通过修改目标地址的方法将解析请求返回给探测服务器。运营商DNS缓存劫持过程导致无法将探测数据发送到被监控的DNS服务器上，导致缓存探测结果准确性大大降低，无法获取实际需探测DNS服务器上的缓存数据。
发明内容
针对现有技术的缺陷，本发明的目的在于提供一种通过采用不依赖流量分析的轻量级DNS缓存探测技术，对电力物联网终端恶意程序通信请求进行监控，实现不受终端种类限制的威胁域名发现，满足泛在电力物联网环境下对跨平台、跨装备的检测的需求，提升对于潜在网络威胁和隐秘通信的检测能力的基于DNS缓存探测的物联网终端安全管控方法及装置。
本发明的另一目的在于提供一种在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据，若缓存检测服务器接收到由探测服务器发送的约定DNS请求数据，则判断通信链路中不存在运营商DNS缓存劫持，进而探测服务器向被检测DNS服务器发送缓存探测请求；
若缓存检测服务器在单位时间内未能收到约定的DNS请求数据，缓存检测服务器则通知探测服务器存在运营商DNS缓存劫持，此时缓存探测服务器将开启全局代理模式，通过 预设的无运营商DNS缓存劫持链路向被检测DNS服务器发送缓存探测请求的能够有效提高缓存探测结果准确性，能够准确获取实际需探测DNS服务器上的缓存数据的基于DNS缓存探测的物联网终端安全管控方法及装置。
为实现上述目的一和二，本发明的技术方案为：
一种基于DNS缓存探测的物联网终端安全管控方法，
主要包括以下步骤：
第一步，探测服务器向被检测DNS服务器发送缓存探测请求；
在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据；若缓存检测服务器接收到由探测服务器发送的约定DNS请求数据，则判断通信链路中不存在运营商DNS缓存劫持，进而探测服务器向被检测DNS服务器发送缓存探测请求；
若缓存检测服务器在单位时间内未能收到约定的DNS请求数据，缓存检测服务器则通知探测服务器存在运营商DNS缓存劫持，此时缓存探测服务器将开启全局代理模式，通过预设的无运营商DNS缓存劫持链路向被检测DNS服务器发送缓存探测请求。
第二步，从可信威胁情报库获取待探测域名列表；
第三步，对被检测DNS服务器缓存进行探测，包括：
通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向被检测DNS服务器发送缓存查询请求，并记录和处理探测结果；
如果探测结果为被检测DNS服务器存在威胁域名以及恶意程序，则进行第四步；
否则进行第六步；
第四步，通过一系列缓存更新时间来计算出DNS查询的总发送速率；
通过对DNS查询的到达间隔时间进行建模得到单个主机发送域名S的DNS查询速率；
根据DNS查询的总发送速率和单个主机发送域名S的DNS查询速率来估测访问域名的主机数量；
第五步，进而评估出一段时间内网络中有多少终端访问了某一个威胁域名，或是感染了同类的恶意程序，便于客户及时确定影响范围，形成应急处理方案；
第六步，当前网络环境安全，继续对网络中威胁域名和恶意程序威胁态势进行监控、评估、预警。
本发明凭借DNS缓存探测技术，对网络面临的安全威胁和风险进行识别感知，实现无流量镜像条件下泛在终端威胁在线检测，满足泛在电力物联网环境下对跨平台、跨装备的终端威胁检测的需求，提升公司内部网络安全威胁检测能力。
具体来说：
1、解决泛在电力物联网痛点，弥补泛终端管控短板。
随着物联网终端设备的激增，大量物联网设备产生大量网络流量，而传统的基于流量检测等安全技术难以应付大流量高并发下。通过采用不依赖流量分析的轻量级DNS缓存探测技术，对电力物联网终端恶意程序通信请求进行监控，实现不受终端种类限制的恶意程序威胁发现，满足泛在电力物联网环境下对跨平台、跨装备的检测的需求，提升对于潜在网络威胁和隐秘通信的检测能力。
2、支撑护网行动，实现全网安全事件态势感知。
能够加强国网公司所属设备与系统的安全事件分析与处置，协助国网公司开展护网行动、重大活动及会议的网络安全保障，提升网络安全队伍快速响应处置能力，提高安全事件的态势感知。
3、向国家监管机关输出安全预警能力，提升工作亮点。
由于本发明不需要监控流量和日志的特性，部署在互联网中即可对能源行业、全国乃至全球恶意程序威胁事件进行告警。因此国网公司可以继续发挥央企中网络安全排头兵的作用，向国家监管机关输出安全预警能力，提升工作亮点。
进一步，深度推断恶意通信的意图及内容，能够准确预测和预警泛在威胁重点攻击的网络区域及电力基础设施类型，本发明适用范围广。
本发明加入检测运营商DNS缓存劫持功能，能够有效提高缓存探测结果准确性，能够准确获取实际需探测DNS服务器上的缓存数据，进而提高物联网终端的安全性。
作为优选技术措施：
所述第四步中，缓存的更新时间被记录在一个一维数组中，对于数组中所有元素，通过计算数组后一个元素和前一个元素之间的差，并对这些差值求和得到所述缓存更新时间。
作为优选技术措施：
为了测量域名的访问量，需要求出单个主机发送域名S的DNS查询速率；
这能够通过对DNS查询的到达间隔时间进行建模来得到；
对于一台DNS服务器服务范围内的所有客户主机来说，它们发送域名S的DNS查询的间隔时间是独立同分布的随机变量；
在得到建模数据集之后，使用以下步骤来估测单个主机发送域名S的DNS查询的速率c：所述建模数据集包括各个主机发送域名S的DNS查询的到达间隔时间；
(1)根据建模数据集，计算出每个主机发送域名S的DNS查询间隔时间序列；
(2)绘制出DNS查询间隔时间序列的累积分布函数曲线；
(3)使用指数分布对画出的累积分布函数曲线进行拟合；
(4)曲线拟合完成后，指数分布函数的参数即为单个主机发送域名S的DNS查询的速率。
作为优选技术措施：
对于一台DNS服务器服务范围内的所有客户主机来说，它们发送域名q的DNS查询的间隔时间是独立同分布的随机变量；单个主机发送域名S的DNS查询的间隔时间符合指数分布。
作为优选技术措施：
n个客户端发送DNS查询的间隔时间是独立同分布的指数随机变量；
所以这些DNS查询的到达时间在DNS服务器端符合伽马分布Gamma(n，λ)；
n表示访问域名的主机数量；因此伽马分布Gamma(n，λ)的总平均速率λ符合以下公式：
λ＝nλ c
根据公式来估测访问域名的主机数量；通过DNS缓存探测估测出了DNS查询的总发送速率λ，对DNS查询到达时间间隔进行建模估测出了单个主机发送DNS查询的速率λ c；推导主机数量为：
Figure PCTCN2021075288-appb-000001
作为优选技术措施：
每台主机发送域名S的DNS查询的间隔时间是独立同分布的指数随机变量；通过指数随机变量的这个性质，能够推出一个结论：如果X 1+...+X n是具有均值1/λ的独立同分布的指数随机变量，则X 1+...+X n是具有参数为n和λ的伽马分布；
所述伽马分布的计算公式如下：
伽马分布的随机变量X的概率密度函数为：
Figure PCTCN2021075288-appb-000002
其中伽马函数定义为：
Figure PCTCN2021075288-appb-000003
指数分布是a＝1的伽马分布，所以当n＝1时即具有密度为：
Figure PCTCN2021075288-appb-000004
则由指数随机变量可以推导为：
Figure PCTCN2021075288-appb-000005
一种基于DNS缓存探测的物联网终端安全管控装置，
应用上述的一种基于DNS缓存探测的物联网终端安全管控方法；
主要包括：主控模块、DNS劫持检测模块、域名信息获取模块、探测模块和计算总发送速率模块；
主控模块用于处理命令行参数、检测DNS服务器状态，协调其它模块，以及控制程序的并发；
DNS劫持检测模块用于在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据，约定的数据为dnsjiance98123dnsjian.xyz。若缓存检测服务器接收到由探测服务器发送的约定DNS请求数据，则判断通信链路中不存在运营商DNS缓存劫持，探测服务器向被检测DNS服务器发送缓存探测请求；若缓存检测服务器在单位时间内未能收到约定的DNS请求数据，缓存检测服务器则通知探测服务器存在运营商DNS缓存劫持，此时缓存探测服务器将开启全局代理模式；
域名信息获取模块用于从可信威胁情报库获取待探测域名列表，并将其通过列队的方式加载到主控制模块中；
探测模块用于对被检测DNS服务器的缓存进行探测，通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向待检测DNS服务器发送缓存查询请求，并记录和处理探测结果；
计算总发送速率模块根据探测结果计算域名的DNS查询总发送速率；该模块利用探测模块得到的一系列缓存更新时间来计算出DNS查询的总发送速率。
作为优选技术措施：缓存的更新时间被记录在一个一维数组中；整个物联网终端安全管控装置的工作流程是对数组中所有元素，计算数组后一个元素和前一个元素之间的差，并对 这些差值求和得到所述缓存更新时间。
与现有技术相比，本发明具有以下有益效果：
本发明成果凭借DNS缓存探测技术，对网络面临的安全威胁和风险进行识别感知，实现无流量镜像条件下泛在终端威胁在线检测，满足泛在电力物联网环境下对跨平台、跨装备的终端威胁检测的需求，提升公司内部网络安全威胁检测能力。
具体来说：
1、解决泛在电力物联网痛点，弥补泛终端管控短板。
随着物联网终端设备的激增，大量物联网设备产生大量网络流量，而传统的基于流量检测等安全技术难以应付大流量高并发下。通过采用不依赖流量分析的轻量级DNS缓存探测技术，对电力物联网终端恶意程序通信请求进行监控，实现不受终端种类限制的恶意程序威胁发现，满足泛在电力物联网环境下对跨平台、跨装备的检测的需求，提升对于潜在网络威胁和隐秘通信的检测能力。
2、支撑护网行动，实现全网安全事件态势感知。
能够加强国网公司所属设备与系统的安全事件分析与处置，协助国网公司开展护网行动、重大活动及会议的网络安全保障，提升网络安全队伍快速响应处置能力，提高安全事件的态势感知。
3、向国家监管机关输出安全预警能力，提升工作亮点。
由于本发明不需要监控流量和日志的特性，部署在互联网中即可对能源行业、全国乃至全球恶意程序威胁事件进行告警。因此国网公司可以继续发挥央企中网络安全排头兵的作用，向国家监管机关输出安全预警能力，提升工作亮点。
本发明加入检测运营商DNS缓存劫持功能，能够有效提高缓存探测结果准确性，能够准确获取实际需探测DNS服务器上的缓存数据，进而提高物联网终端的安全性。
附图说明
图1为本发明工作流程图；
图2为应用本发明的管控示图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
相反，本发明涵盖任何由权利要求定义的在本发明的精髓和范围上做的替代、修改、等效方法以及方案。进一步，为了使公众对本发明有更好的了解，在下文对本发明的细节描述 中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本发明。
如图1-2所示，一种基于DNS缓存探测的物联网终端安全管控方法，
主要包括以下步骤：
第一步，探测服务器向被检测DNS服务器发送缓存探测请求；
第二步，从可信威胁情报库获取待探测域名列表；
第三步，对被检测DNS服务器的缓存进行探测，包括：
通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向被检测DNS服务器发送缓存查询请求，并记录和处理探测结果；
如果探测结果为被检测DNS服务器存在威胁域名以及恶意程序，则进行第四步；
否则进行第六步；
第四步，通过一系列缓存更新时间来计算出DNS查询的总发送速率；
通过对DNS查询的到达间隔时间进行建模得到单个主机发送域名S的DNS查询速率；
根据DNS查询的总发送速率和单个主机发送域名S的DNS查询速率来估测访问域名的主机数量；
第五步，进而评估出一段时间内网络中有多少终端访问了某一个威胁域名，或是感染了同类的恶意程序，便于客户及时确定影响范围，形成应急处理方案；
第六步，当前网络环境中不存在恶意域名解析请求，继续对网络中威胁域名和恶意程序威胁态势进行监控、评估、预警。
本发明成果凭借DNS缓存探测技术，对网络面临的安全威胁和风险进行识别感知，实现无流量镜像条件下泛在终端威胁在线检测，满足泛在电力物联网环境下对跨平台、跨装备的终端威胁检测的需求，提升公司内部网络安全威胁检测能力。
具体来说：
1、解决泛在电力物联网痛点，弥补泛终端管控短板。
随着物联网终端设备的激增，大量物联网设备产生大量网络流量，而传统的基于流量检测等安全技术难以应付大流量高并发下。通过采用不依赖流量分析的轻量级DNS缓存探测技术，对电力物联网终端恶意程序通信请求进行监控，实现不受终端种类限制的恶意程序威胁发现，满足泛在电力物联网环境下对跨平台、跨装备的检测的需求，提升对于潜在网络威胁和隐秘通信的检测能力。
2、支撑护网行动，实现全网安全事件态势感知。
能够加强国网公司所属设备与系统的安全事件分析与处置，协助国网公司开展护网行动、 重大活动及会议的网络安全保障，提升网络安全队伍快速响应处置能力，提高安全事件的态势感知。
3、向国家监管机关输出安全预警能力，提升工作亮点。
由于本发明不需要监控流量和日志的特性，部署在互联网中即可对能源行业、全国乃至全球恶意程序威胁事件进行告警。因此国网公司可以继续发挥央企中网络安全排头兵的作用，向国家监管机关输出安全预警能力，提升工作亮点。
进一步，深度推断恶意通信的意图及内容，能够准确预测和预警泛在威胁重点攻击的网络区域及电力基础设施类型。
本发明增设检测运营商DNS缓存劫持功能的一种具体实施例：
所述第一步，在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据，若缓存检测服务器接收到由探测服务器发送的约定DNS请求数据，则判断通信链路中不存在运营商DNS缓存劫持，进而探测服务器向被检测DNS服务器发送缓存探测请求；
若缓存检测服务器在单位时间内未能收到约定的DNS请求数据，缓存检测服务器则通知探测服务器存在运营商DNS缓存劫持，此时缓存探测服务器将开启全局代理模式，通过预设的无运营商DNS缓存劫持链路向被检测DNS服务器发送缓存探测请求。
本发明加入检测运营商DNS缓存劫持功能，能够有效提高缓存探测结果准确性，能够准确获取实际需探测DNS服务器上的缓存数据，进而提高物联网终端的安全性。
本发明数据处理的一种具体实施例：
所述第四步中，缓存的更新时间被记录在一个一维数组中，对于数组中所有元素，通过计算数组后一个元素和前一个元素之间的差，并对这些差值求和得到缓存更新时间。
本发明计算单个主机发送域名S的DNS查询速率的一种具体实施例：
为了测量域名的访问量，需要求出单个主机发送域名S的DNS查询速率；
这能够通过对DNS查询的到达间隔时间进行建模来得到；
对于一台DNS服务器服务范围内的所有客户主机来说，它们发送域名S的DNS查询的间隔时间是独立同分布的随机变量；
在得到建模数据集之后，使用以下步骤来估测单个主机发送域名S的DNS查询的速率c：
(1)根据建模数据集，计算出每个主机发送域名S的DNS查询间隔时间序列；其中，该建模数据集包括域名信息以及各个主机发送域名的发送时间、返回时间、发送速率、解析状态和解析信息；
(2)绘制出DNS查询间隔时间序列的累积分布函数曲线；
(3)使用指数分布对画出的累积分布函数曲线进行拟合；
(4)曲线拟合完成后，指数分布函数的参数即为单个主机发送域名S的DNS查询的速率。
对于一台DNS服务器服务范围内的所有客户主机来说，它们发送域名q的DNS查询的间隔时间是独立同分布的随机变量；单个主机发送域名S的DNS查询的间隔时间符合指数分布。
n个客户端发送DNS查询的间隔时间是独立同分布的指数随机变量；
所以这些DNS查询的到达时间在DNS服务器端符合伽马分布Gamma(n，λ)；
n表示访问域名的主机数量；因此伽马分布Gamma(n，λ)的总平均速率λ符合以下公式：
λ＝nλ c
根据公式来估测访问域名的主机数量；通过DNS缓存探测估测出了DNS查询的总发送速率λ，对DNS查询到达时间间隔进行建模估测出了单个主机发送DNS查询的速率λ c；推导主机数量为：
Figure PCTCN2021075288-appb-000006
本发明伽马分布的一种具体实施例：
每台主机发送域名S的DNS查询的间隔时间是独立同分布的指数随机变量；通过指数随机变量的这个性质，能够推出一个结论：如果X 1+...+X n是具有均值1/λ的独立同分布的指数随机变量，则X 1+...+X n是具有参数为n和λ的伽马分布；
所述伽马分布的计算公式如下：
伽马分布的随机变量X的概率密度函数为：
Figure PCTCN2021075288-appb-000007
其中伽马函数定义为：
Figure PCTCN2021075288-appb-000008
指数分布是a＝1的伽马分布，所以当n＝1时即具有密度为：
Figure PCTCN2021075288-appb-000009
则由指数随机变量可以推导为：
Figure PCTCN2021075288-appb-000010
本发明一种基于DNS缓存探测的物联网终端安全管控装置的实施例：
应用上述的一种基于DNS缓存探测的物联网终端安全管控方法；
主要包括：主控模块、DNS劫持检测模块、域名信息获取模块、探测模块和计算总发送速率模块；
主控模块用于处理命令行参数、检测DNS服务器状态，协调其它模块，以及控制程序的并发；
DNS劫持检测模块用于在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据，约定的数据为dnsjiance98123dnsjian.xyz；
域名信息获取模块用于从可信威胁情报库获取待探测域名列表，并将其通过列队的方式加载到主控制模块中；
探测模块用于对DNS缓存进行探测，通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向待检测DNS服务器发送缓存查询请求，并记录和处理探测结果；
计算总发送速率模块根据探测结果计算域名的DNS查询总发送速率；该模块利用探测模块得到的一系列缓存更新时间来计算出DNS查询的总发送速率。
缓存的更新时间被记录在一个一维数组中；整个物联网终端安全管控装置的工作流程是对数组中所有元素，计算数组后一个元素和前一个元素之间的差，并对这些差值求和。
在另一种优选的实施例中，上述实施例提供的基于DNS缓存探测的物联网终端安全管控装置中，主控模块可以为处理器或控制芯片；其中，主控模块用于执行存储在存储器中的以下程序模块：DNS劫持检测模块用于在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据，约定的数据为 dnsjiance98123dnsjian.xyz；域名信息获取模块用于从可信威胁情报库获取待探测域名列表，并将其通过列队的方式加载到主控制模块中；探测模块用于对DNS缓存进行探测，通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向待检测DNS服务器发送缓存查询请求，并记录和处理探测结果；计算总发送速率模块根据探测结果计算域名的DNS查询总发送速率；该模块利用探测模块得到的一系列缓存更新时间来计算出DNS查询的总发送速率。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

  1. 一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，
    主要包括以下步骤：
    第一步，探测服务器向被检测DNS服务器发送缓存探测请求，包括：
    在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据；若缓存检测服务器接收到由探测服务器发送的约定DNS请求数据，则判断通信链路中不存在运营商DNS缓存劫持，进而探测服务器向被检测DNS服务器发送缓存探测请求；
    若缓存检测服务器在单位时间内未能收到约定的DNS请求数据，缓存检测服务器则通知探测服务器存在运营商DNS缓存劫持，此时缓存探测服务器将开启全局代理模式，通过预设的无运营商DNS缓存劫持链路向被检测DNS服务器发送缓存探测请求；
    第二步，从可信威胁情报库获取待探测域名列表；
    第三步，对被检测DNS服务器的缓存进行探测，包括：
    通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向被检测DNS服务器发送缓存查询请求，并记录和处理探测结果；
    如果探测结果为被检测DNS服务器存在威胁域名以及恶意程序，则进行第四步；
    否则进行第六步；
    第四步，通过一系列缓存更新时间来计算出DNS查询的总发送速率；
    通过对DNS查询的到达间隔时间进行建模得到单个主机发送域名S的DNS查询速率；
    根据DNS查询的总发送速率和单个主机发送域名S的DNS查询速率来估测访问域名的主机数量；
    第五步，进而评估出一段时间内网络中有多少终端访问了某一个威胁域名，或是感染了同类的恶意程序；
    第六步，当前网络环境安全，继续对网络中威胁域名和恶意程序威胁态势进行监控、评估、预警。
  2. 如权利要求1所述的一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，
    所述第四步中，缓存的更新时间被记录在一个一维数组中，通过对数组中所有元素，计算数组后一个元素和前一个元素之间的差，并对这些差值求和得到所述缓存更新时间。
  3. 如权利要求1所述的一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，所述通过对DNS查询的到达间隔时间进行建模得到单个主机发送域名S的DNS查询速 率包括：
    通过对DNS查询的到达间隔时间进行建模，得到单个主机发送域名S的DNS查询速率；
    对于一台DNS服务器服务范围内的所有客户主机来说，它们发送域名S的DNS查询的到达间隔时间是独立同分布的随机变量。
  4. 如权利要求3所述的一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，
    在得到建模数据集之后，使用以下步骤来估测单个主机发送域名S的DNS查询的速率c：
    (1)根据建模数据集，计算出每个主机发送域名S的DNS查询间隔时间序列；
    (2)绘制出DNS查询间隔时间序列的累积分布函数曲线；
    (3)使用指数分布对画出的累积分布函数曲线进行拟合；
    (4)曲线拟合完成后，指数分布函数的参数即为单个主机发送域名S的DNS查询的速率。
  5. 如权利要求1所述的一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，所述方法还包括：
    对于一台DNS服务器服务范围内的所有客户主机来说，它们发送域名q的DNS查询的间隔时间是独立同分布的随机变量；单个主机发送域名S的DNS查询的间隔时间符合指数分布。
  6. 如权利要求5所述的一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，所述根据DNS查询的总发送速率和单个主机发送域名S的DNS查询速率来估测访问域名的主机数量，包括：
    n个客户端发送DNS查询的间隔时间是独立同分布的指数随机变量；
    所以这些DNS查询的到达时间在DNS服务器端符合伽马分布Gamma(n，λ)；
    n表示访问域名的主机数量；因此伽马分布Gamma(n，λ)的总平均速率λ符合以下公式：
    λ＝nλ c
    根据公式来估测访问域名的主机数量；通过DNS缓存探测估测出了DNS查询的总发送速率λ，对DNS查询到达时间间隔进行建模估测出了单个主机发送DNS查询的速率λ c；推导主机数量为：
    Figure PCTCN2021075288-appb-100001
  7. 如权利要求6所述的一种基于DNS缓存探测的物联网终端安全管控方法，其特征在于，
    所述伽马分布的计算公式如下：
    伽马分布的随机变量X的概率密度函数为：
    Figure PCTCN2021075288-appb-100002
    其中伽马函数定义为：
    Figure PCTCN2021075288-appb-100003
    指数分布是a＝1的伽马分布，所以当n＝1时即具有密度为：
    Figure PCTCN2021075288-appb-100004
    则由指数随机变量可以推导为：
    Figure PCTCN2021075288-appb-100005
  8. 一种基于DNS缓存探测的物联网终端安全管控装置，其特征在于，
    应用如权利要求1-7任一所述的一种基于DNS缓存探测的物联网终端安全管控方法；
    主要包括：主控模块、DNS劫持检测模块、域名信息获取模块、探测模块和计算总发送速率模块；
    主控模块用于处理命令行参数、检测DNS服务器状态，协调其它模块，以及控制程序的并发；
    DNS劫持检测模块用于在网络中架设缓存检测服务器并进行抓包，探测服务器首先向缓存检测服务器发送约定过的DNS请求数据，约定的数据为dnsjiance98123dnsjian.xyz；若缓存检测服务器接收到由探测服务器发送的约定DNS请求数据后，则判断通信链路中不存在运营商DNS缓存劫持，探测服务器向被检测DNS服务器发送缓存探测请求；若缓存检测服务器在单位时间内未能收到约定的DNS请求数据，缓存检测服务器则通知探测服务器存在 运营商DNS缓存劫持，此时缓存探测服务器将开启全局代理模式；
    域名信息获取模块用于从可信威胁情报库获取待探测域名列表，并将其通过列队的方式加载到主控制模块中；
    探测模块用于对被检测DNS服务器的缓存进行探测，通过在DNS请求数据包中设置关闭递归查询标志位，再从待探测域名列表中获取域名后向待检测DNS服务器发送缓存查询请求，并记录和处理探测结果；
    计算总发送速率模块根据探测结果计算域名的DNS查询总发送速率；该模块利用探测模块得到的一系列缓存更新时间来计算出DNS查询的总发送速率。
  9. 如权利要求8所述的一种基于DNS缓存探测的物联网终端安全管控装置，其特征在于，缓存的更新时间被记录在一个一维数组中；整个物联网终端安全管控装置的工作流程是对数组中所有元素，计算数组后一个元素和前一个元素之间的差，并对这些差值求和得到所述缓存更新时间。
PCT/CN2021/075288 2020-04-17 2021-02-04 一种基于dns缓存探测的物联网终端安全管控方法及装置 WO2021208570A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202010303811.4 2020-04-17
CN202010303811.4A CN111614617B (zh) 2020-04-17 2020-04-17 一种基于dns缓存探测的物联网终端安全管控方法及装置

Publications (1)

Publication Number Publication Date
WO2021208570A1 true WO2021208570A1 (zh) 2021-10-21

Family

ID=72201383

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2021/075288 WO2021208570A1 (zh) 2020-04-17 2021-02-04 一种基于dns缓存探测的物联网终端安全管控方法及装置

Country Status (2)

Country Link
CN (1) CN111614617B (zh)
WO (1) WO2021208570A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111614617B (zh) * 2020-04-17 2022-05-13 国网浙江省电力有限公司电力科学研究院 一种基于dns缓存探测的物联网终端安全管控方法及装置
CN112804369A (zh) * 2020-12-28 2021-05-14 深信服科技股份有限公司 一种网络系统及网络访问安全检测方法、装置和相关设备
CN115396397B (zh) * 2022-04-13 2023-07-14 中国人民解放军国防科技大学 基于转发关系确定缓存域名系统服务范围的方法和装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103327015A (zh) * 2013-06-06 2013-09-25 西安交通大学 基于dns缓存探测的恶意代码感染主机规模估计方法
US20140059071A1 (en) * 2012-01-11 2014-02-27 Saguna Networks Ltd. Methods, circuits, devices, systems and associated computer executable code for providing domain name resolution
CN104348669A (zh) * 2013-07-23 2015-02-11 深圳市腾讯计算机系统有限公司 一种域名劫持探测、系统及装置
CN105681482A (zh) * 2015-12-28 2016-06-15 哈尔滨工业大学 Dns缓存探测误差修正方法
CN111614617A (zh) * 2020-04-17 2020-09-01 国网浙江省电力有限公司电力科学研究院 一种基于dns缓存探测的物联网终端安全管控方法及装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103152357B (zh) * 2013-03-22 2015-09-30 北京网御星云信息技术有限公司 一种针对dns服务的防御方法、装置和系统
CN103345605B (zh) * 2013-06-06 2016-01-06 西安交通大学 一种恶意代码感染主机规模估计系统和方法
CN104125238A (zh) * 2014-08-14 2014-10-29 互联网域名系统北京市工程研究中心有限公司 一种DNS递归服务器抗DoS、DDoS攻击的方法
CN105516383B (zh) * 2015-11-23 2019-04-19 中国互联网络信息中心 一种新型dns递归服务器缓存方法和系统
CN105376344B (zh) * 2015-11-26 2019-01-04 中国互联网络信息中心 一种与源地址相关的递归域名服务器的解析方法及系统
CN106060046A (zh) * 2016-05-30 2016-10-26 努比亚技术有限公司 一种防止下载劫持的装置、移动终端和方法
CN105871912A (zh) * 2016-06-03 2016-08-17 腾讯科技（深圳）有限公司 一种域名劫持的探测方法和服务器以及移动终端

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140059071A1 (en) * 2012-01-11 2014-02-27 Saguna Networks Ltd. Methods, circuits, devices, systems and associated computer executable code for providing domain name resolution
CN103327015A (zh) * 2013-06-06 2013-09-25 西安交通大学 基于dns缓存探测的恶意代码感染主机规模估计方法
CN104348669A (zh) * 2013-07-23 2015-02-11 深圳市腾讯计算机系统有限公司 一种域名劫持探测、系统及装置
CN105681482A (zh) * 2015-12-28 2016-06-15 哈尔滨工业大学 Dns缓存探测误差修正方法
CN111614617A (zh) * 2020-04-17 2020-09-01 国网浙江省电力有限公司电力科学研究院 一种基于dns缓存探测的物联网终端安全管控方法及装置

Also Published As

Publication number Publication date
CN111614617B (zh) 2022-05-13
CN111614617A (zh) 2020-09-01

Similar Documents

Publication Publication Date Title
WO2021208570A1 (zh) 一种基于dns缓存探测的物联网终端安全管控方法及装置
CN107454109B (zh) 一种基于http流量分析的网络窃密行为检测方法
US20200344246A1 (en) Apparatus, system and method for identifying and mitigating malicious network threats
WO2018095192A1 (zh) 网站攻击的检测和防护方法及系统
KR100942456B1 (ko) 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
US11290485B2 (en) Method and system for detecting and blocking data transfer using DNS protocol
CN111600842B (zh) 一种可信威胁情报的物联网终端安全控制方法以及系统
US9338187B1 (en) Modeling user working time using authentication events within an enterprise network
CN109040130B (zh) 基于属性关系图的主机网络行为模式度量方法
CN111131176B (zh) 资源访问控制方法、装置、设备及存储介质
US11968235B2 (en) System and method for cybersecurity analysis and protection using distributed systems
US20200014714A1 (en) Dns misuse detection through attribute cardinality tracking
CN104243408A (zh) 域名解析服务dns系统中监控报文的方法、装置及系统
US20180139229A1 (en) Profiling domain name system (dns) traffic
Jie et al. Industrial control system security
US20240314144A1 (en) Predictive dns cache to improve security and performance
JP2018073140A (ja) ネットワーク監視装置、プログラム及び方法
CN111241541A (zh) 一种根据请求数据防爬虫系统和方法
Ono et al. A proposal of port scan detection method based on Packet‐In Messages in OpenFlow networks and its evaluation
Mehta Distributed Denial of service Attacks on Cloud Environment.
US10038603B1 (en) Packet capture collection tasking system
CN111447199A (zh) 服务器的风险分析方法、服务器的风险分析装置及介质
Yu et al. On detection and visualization techniques for cyber security situation awareness
Li et al. A distributed intrusion detection model based on cloud theory
CN113904843B (zh) 一种终端异常dns行为的分析方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21789179

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21789179

Country of ref document: EP

Kind code of ref document: A1