公开(公告)号：CN101702660A

公开(公告)日：2010-05-05

申请号：CN200910237594.7

申请日：2009-11-12

Applicant: 中国科学院计算技术研究所 ,  国家计算机网络与信息安全管理中心

Inventor： 张永铮 ,  周勇林 ,  王明华 ,  袁春阳 ,  云晓春 ,  郭莉 ,  李世淙 ,  由林麟

IPC: H04L12/26 ,  H04L29/12

Abstract: 本发明涉及一种异常域名检测方法及其系统，方法包括：步骤1，接收并解析DNS响应报文，以预设的统计时间间隔为统计周期进行统计，在所述统计周期内生成包含DNS响应报文的信息和个数统计值的DNS解析统计向量集；步骤2，以预设的检测时间间隔为检测周期进行检测，在所述检测周期内按预设的检测特征对所述检测周期内生成的DNS解析统计向量集中的DNS解析统计向量进行检测特征统计，生成检测特征向量集，所述检测特征向量集中每个检测特征向量同一个域名对应；步骤3，对检测特征向量集中的检测特征向量进行检测，生成异常域名。本发明能够对未知异常域名进行检测。

公开(公告)号：CN101702660B

公开(公告)日：2011-12-14

申请号：CN200910237594.7

申请日：2009-11-12

Applicant: 中国科学院计算技术研究所 ,  国家计算机网络与信息安全管理中心

Inventor： 张永铮 ,  周勇林 ,  王明华 ,  袁春阳 ,  云晓春 ,  郭莉 ,  李世淙 ,  由林麟

IPC: H04L12/26 ,  H04L29/12

Abstract: 本发明涉及一种异常域名检测方法及系统，方法包括：步骤1，接收并解析DNS响应报文，以预设的统计时间间隔为统计周期进行统计，在所述统计周期内生成包含DNS响应报文的信息和个数统计值的DNS解析统计向量集；步骤2，以预设的检测时间间隔为检测周期进行检测，在所述检测周期内按预设的检测特征对所述检测周期内生成的DNS解析统计向量集中的DNS解析统计向量进行检测特征统计，生成检测特征向量集，所述检测特征向量集中每个检测特征向量同一个域名对应；步骤3，对检测特征向量集中的检测特征向量进行检测，生成异常域名。本发明能够对未知异常域名进行检测。