申请/专利权人：天津大学

申请日：2022-10-24

公开（公告）日：2024-04-30

公开（公告）号：CN115643087B

主分类号：H04L9/40

分类号：H04L9/40;H04L41/16;H04L61/4511

优先权：

专利状态码：有效-授权

法律状态：2024.04.30#授权;2023.02.14#实质审查的生效;2023.01.24#公开

摘要：本发明公开一种基于编码特征与统计行为特征融合的DNS隧道检测方法，包括：S1.截取DNS流量并依据网络五元组构建DNS请求与响应会话，所述网络五元组包括请求IP、响应IP、请求端口、响应端口和协议号；S2.从DNS请求与响应会话中提取编码特征与统计行为特征；S3.基于步骤S2提取的编码特征与统计行为特征，训练决策分类器，实现正常DNS流量与DNS隧道流量的划分。本发明方法在实时检测上都表现了更好的性能。可以达到比现有方法更高的准确率，并且保证检测在实时环境中进行。

主权项：1.一种基于编码特征与统计行为特征融合的DNS隧道检测方法，其特征在于，包括：S1.截取DNS流量并依据网络五元组构建DNS请求与响应会话，所述网络五元组包括请求IP、响应IP、请求端口、响应端口和协议号；S2.从DNS请求与响应会话中提取编码特征与统计行为特征；针对编码特征，使用Attention编码器从DNS请求与响应会话中提取二维的编码特征向量；针对统计行为特征，从每个DNS请求与响应会话中提取包含DNS请求报文有效负载的长度、DNS响应报文有效负载的长度、平均域名生存时间、DNS响应与请求数的比例、DNS请求与其响应之间的时间间隔、DNS上传与下载比的六类统计值，并将上述六类统计值转化为六维的统计行为特征向量；S3.基于步骤S2提取的编码特征与统计行为特征，训练决策分类器，实现正常DNS流量与DNS隧道流量的划分；将二维的编码特征向量与六维的统计行为特征向量拼接为用于训练决策分类器的八维向量；对每条DNS请求与响应会话进行噪声字符去除和索引映射的预处理工作；噪声字符去除包括删除DNS请求与响应会话中的顶级域名TLD和二级域名2LD的域名部分，只保留子域名部分；同时删除“.”和“:”干扰字符，并将所有字母统一转化为小写；通过设置字符到索引的映射将DNS请求与响应会话的内容转换为特征向量；使用“\t”拆分DNS请求和响应会话内容，并采用范围[0，38]内的数字映射包含数字、小写字母和下划线的有效字符，得到初始的编码特征向量xi；使用Attention编码器提取编码特征向量过程如下：首先初始化若干组Attention头向量，每组Attention头向量包含有查询向量WQ、关键向量WK和值向量WV；每个初始的编码特征向量xi使用如下线性投影到上述查询向量WQ、关键向量WK和值向量WV：Qi＝WQxi,Ki＝WKxi,Vi＝WVxi线性投影是通过相似性函数计算每个输入xi与所有其他输入xi～xk之间的相似性，来调整Attention编码器的输入： 其中dk是Kj的维度，z是归一化因子；对于若干组Attention头向量，使用合取算子来获得联合的Attention头向量atti；最后，通过ReLU前馈网络与归一化将每个初始的编码特征向量转换为二维编码特征向量：hi＝max0，W1atti+b1+b2其中W1、b1和b2是可调节的超参数。

全文数据：

权利要求：

百度查询： 天津大学 一种基于编码特征与统计行为特征融合的DNS隧道检测方法

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD