CN113794731A - 识别基于cdn流量伪装攻击的方法、装置、设备和介质 - Google Patents

识别基于cdn流量伪装攻击的方法、装置、设备和介质 Download PDF

Info

Publication number
CN113794731A
CN113794731A CN202111095827.1A CN202111095827A CN113794731A CN 113794731 A CN113794731 A CN 113794731A CN 202111095827 A CN202111095827 A CN 202111095827A CN 113794731 A CN113794731 A CN 113794731A
Authority
CN
China
Prior art keywords
cdn
flow
traffic
information
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111095827.1A
Other languages
English (en)
Other versions
CN113794731B (zh
Inventor
刘赫德
祝萍
莫思敏
吴昊宇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Industrial and Commercial Bank of China Ltd ICBC
ICBC Technology Co Ltd
Original Assignee
Industrial and Commercial Bank of China Ltd ICBC
ICBC Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Industrial and Commercial Bank of China Ltd ICBC, ICBC Technology Co Ltd filed Critical Industrial and Commercial Bank of China Ltd ICBC
Priority to CN202111095827.1A priority Critical patent/CN113794731B/zh
Publication of CN113794731A publication Critical patent/CN113794731A/zh
Application granted granted Critical
Publication of CN113794731B publication Critical patent/CN113794731B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本公开提供了一种识别基于CDN流量伪装攻击的方法、装置、设备和介质，涉及信息安全技术领域或金融领域等。该方法包括实时采集网络节点处的CDN流量数据，对CDN流量数据执行分组处理并从分组处理的结果中获取DNS流量数据；对DNS流量数据进行预处理获取特征信息并基于特征信息获取特征值；将特征值输入分类模型，输出CDN流量数据是否存在恶意攻击；若输出的CND流量数据存在恶意攻击，则对CDN流量进行阻断。本公开中通过对CDN流量进行特征提取，将提取到的特征的特征值输入到事先通过机器学习建立的分类模型中，利用分类模型快速识别CDN流量的伪装攻击行为，主动发现恶意攻击。

Description

识别基于CDN流量伪装攻击的方法、装置、设备和介质
技术领域
本公开涉及信息安全技术领域，更具体地涉及一种识别基于CDN流量伪装攻击的方法、装置、设备、介质和程序产品。
背景技术
在当前网络形势下，渗透测试或者黑客攻击场景过程中，经常采用CDN来隐藏自己真实攻击IP。黑客在控制目标时，为了隐蔽自身，很少直接使用真实IP对目标进行远控攻击，而是通过CDN加速技术，配置CNAME，实现域前置技术躲避入侵检测***的检测。CDN具有对网站真实IP良好隐藏的特性，导致黑客的攻击行为隐蔽性高，非常难以被发现。
发明内容
鉴于上述问题，本公开提供了一种识别基于CDN流量伪装攻击的方法、装置、设备、介质和程序产品。
根据本公开的第一个方面，提供了一种识别基于CDN流量伪装攻击的方法，包括实时采集网络节点处的CDN流量数据，对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据；对所述DNS流量数据进行预处理获取特征信息并基于所述特征信息获取特征值；将所述特征值输入分类模型，输出所述CDN流量数据是否存在恶意攻击；若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断。
根据本公开的实施例，所述对所述DNS流量数据进行预处理获取特征信息包括：基于开源情报信息和采集的历史CDN流量数据对所述CDN流量数据的域名信息进行扩展；基于扩展后的所述域名信息在所述CDN流量数据中确定所述DNS流量数据的访问行为特征。
根据本公开的实施例，所述扩展后的域名信息包括白名单标记、域名备案信息、CND归属、解析IP、解析次数。
根据本公开的实施例，所述访问行为特征包括访问频率、访问时间、访问时长、源IP、目的IP、banner信息、证书信息。
根据本公开的实施例，所述基于CDN流量伪装攻击的方法还包括：创建黑名单库；所述若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断之后，将所述CDN流量数据的目的IP记录到所述黑名单库中。
根据本公开的实施例，在所述将所述特征值输入分类模型之前还包括：将所述特征信息中的目的IP信息与所述黑名单库中的IP信息进行匹配，所述特征信息中的目的IP信息存在于所述黑名单库中，则对所述CDN流量进行阻断。
根据本公开的实施例，所述实时采集网络节点处的CDN流量数据包括：对所述网络节点处的CDN流量采用端口镜像采集；或者对所述网络节点处的CDN流量采用分光器采集。
根据本公开的实施例，所述对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据包括：根据应用层的DNS协议从所述CND流量中获取所述DNS流量数据。
本公开的第二方面提供了一种基于识别CDN流量伪装攻击的装置，包括：流量获取模块，用于实时采集网络节点处的CDN流量数据，对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据；第一特征提取模块，用于对所述DNS流量数据进行预处理获取特征信息并基于所述特征信息获取特征值；流量判断模块，用于将所述特征值输入分类模型，输出所述CDN流量数据是否存在恶意攻击；阻断模块，用于若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断。
根据本公开的实施例，还包括黑名单模块，用于创建黑名单库，并在若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断之后，将所述CDN流量数据的目的IP记录到所述黑名单库中。
本公开的第三个方面提供了一种训练分类模型的方法，包括：基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类；对历史采集的CDN流量数据进行特征提取并获取特征值；将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练。
本公开的第四个方面提供了一种训练分类模型，包括：
流量标记分类模块，用于基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类；
第二特征提取模块，用于对历史采集的CDN流量数据进行特征提取并获取特征值；
模型训练模块，用于将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练。
本公开的第五方面提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得一个或多个处理器执行上述基于CDN流量伪装攻击的方法。
本公开的第六方面还提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述识别基于CDN流量伪装攻击的方法。
本公开的第七方面还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述识别基于CDN流量伪装攻击的方法。
根据本公开的识别基于CDN流量伪装攻击的方法通过实时采集网络节点处的CDN流量数据，对CDN流量数据执行分组处理并从分组处理的结果中获取DNS流量数据；对DNS流量数据进行预处理获取特征信息并基于特征信息获取特征值；将特征值输入分类模型，输出CDN流量数据是否存在恶意攻击；若输出的CND流量数据存在恶意攻击，则对CDN流量进行阻断。本公开的实施例中通过对隐藏IP的CDN流量进行特征提取，将提取到的特征的特征值输入到事先通过机器学习建立的分类模型中，利用分类模型快速识别CDN流量的伪装攻击行为，主动发现恶意攻击。
附图说明
通过以下参照附图对本公开实施例的描述，本公开的上述内容以及其他目的、特征和优点将更为清楚，在附图中：
图1示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的方法、装置、设备、介质和程序产品的应用场景图；
图2示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的方法的流程图；
图3示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的方法的另一实施方式的流程图；
图4示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的方法的另一实施方式的流程图；
图5示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的装置的结构框图；
图6示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的装置的另一实施方式的结构框图；
图7示意性示出了根据本公开实施例的训练分类模型的方法的流程图；
图8示意性示出了根据本公开实施例的训练分类模型的装置的结构框图；
图9示意性示出了根据本公开实施例的适于实现识别基于CDN流量伪装攻击的方法的计算机***框图。
具体实施方式
以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。
在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。
在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。
在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的***”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的***等)。
详细的背景技术，可以包括除独权解决的技术问题之外的其它技术问题。
本公开的实施例提供了一种识别基于CDN流量伪装攻击的方法包括实时采集网络节点处的CDN流量数据，对CDN流量数据执行分组处理并从分组处理的结果中获取DNS流量数据；对DNS流量数据进行预处理获取特征信息并基于特征信息获取特征值；将特征值输入分类模型，输出CDN流量数据是否存在恶意攻击；若输出的CND流量数据存在恶意攻击，则对CDN流量进行阻断。
需要说明的是，本公开实施例提供的识别基于CDN流量伪装攻击的方法可用于大数据、分布式技术在微服务数据传输相关方面，也可用于除大数据、分布式技术之外的多种领域，如金融领域等。
需要说明的是，本公开的实施例中的CDN全称是Content Delivery Network，即内容分发网络。CDN是构建在现有网络基础之上的智能虚拟网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率。在一种场景下，基于内容分发网络，配置CAME(一种DNS解析记录之一，这种记录允许将多个名字映射到同一台计算机，比如，访问www.***.com它的CNNAME为www.a.shifen.com)实现域前置技术，将真实的IP隐藏，进而躲避入侵检测***，实现对目标用户的网络攻击，本公开的实施例中的基于CDN流量伪装攻击的方法至少可用于解决上述场景中的网络攻击问题。
图1示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的方法的应用场景图。
如图1所示，根据该实施例的应用场景100可以包括终端设备101、102、103。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。
终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器105可以是提供各种服务的服务器，例如发送向终端设备101、102、103的网络流量进行特征提取，并将特征提取的结果输入到分类模型中以识别出网络流量中是否有恶意攻击的后台管理服务器(仅为示例)。后台管理服务器可以形成对网络流量的处理结果，并将上述处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。
需要说明的是，本公开实施例所提供的识别基于CDN流量伪装攻击的方法一般可以由服务器105执行。相应地，本公开实施例所提供的基于CDN流量伪装攻击的装置一般可以设置于服务器105中。本公开实施例所提供的基于CDN流量伪装攻击的方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的基于CDN流量伪装攻击的装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。
应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
以下将基于图1描述的场景，通过图2～图4对本公开实施例的识别基于CDN流量伪装攻击的方法进行详细描述。
图2示意性示出了根据本公开实施例的基于CDN流量伪装攻击的方法的流程图。
如图2所示，该实施例的识别基于CDN流量伪装攻击的方法包括操作S210～操作S240。
在操作S210，实时采集网络节点处的CDN流量数据，对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据。
本公开的实施例中实时采集网络节点处的CDN流量数据包括对网络节点处的CDN流量进行镜像处理。具体地，对于普通的网络用户，在加入到CDN服务的网站时，通过全局负载均衡***DNS的控制可对相应的用户配置到就近的节点，节点就相当于放置在用户周围的WEB。用户发出访问请求时，对该节点处响应的请求结果所产生的CDN流量进行端口镜像或者采用分光器的方式进行CDN流量数据的采集。需要说明的是，CDN流量数据就是使用CDN加速时，网络加速会产生数据使用量，达到某一时段，统计出这个时段数据的使用量。
可以理解，获得的CDN流量中包含大量的日常网络流量，如访问内容信息等。为了寻找出CDN流量中隐藏的真实IP，需要获得CND量中的DNS解析流量，对DNS解析流量进行分析处理。基于上述，本公开的实施例中通过应用层的DNS协议对CDN流量进行分组，将CDN流量分为DNS解析流量和其他的日常网络流量。
在操作S220，对所述DNS流量数据进行预处理获取特征信息并基于所述特征信息获取特征值。
本公开的实施例中的预处理为基于开源情报信息和采集的历史CDN流量数据对所述CDN流量数据的域名信息进行扩展，即以历史采集到的CND流量数据中的域名信息为参照，结合已经公开的开源情报信息对当前CND流量中的域名信息进行扩展。具体可采用相似字段的查询和获取的方式，获取开源情报信息和历史数据中的相关信息。其中所述扩展后的域名信息基本包括白名单标记、域名备案信息、CND归属、解析IP、解析次数。
本公开的实施例中基于扩展后的所述域名信息在所述CDN流量数据即上述中的其他网络流量数据中确定所述DNS流量数据的访问行为特征，其中所述访问行为特征包括访问频率、访问时间、访问时长、源IP、目的IP、banner信息、证书信息，对上述访问行为进行统计计算，得出特征值。
在操作S230，将所述特征值输入分类模型，输出所述CDN流量数据是否存在恶意攻击。
本公开的实施例中的分类模型为基于机器学习的方法训练得到，在将上述中的特征值输入到分类模型中，可将CDN流量进行分类处理，分类成正常访问和恶意攻击两种。
在操作S240，若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断，阻止用户访问上述CDN流量。
可以理解，还可在用户的终端设备上弹出无法访问的页面提示，或者将告警信息显示在无法访问的页面上。
可以理解，为了保证检测的准确性，还可对同一CND流量数据进行间断式多次检测，在不同时间段下的多次检测结果中，若存在一半以上的结果为恶意攻击，则将上述中的CDN流量定义为存在恶意攻击。
图3示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的方法的另一实施方式的流程图。本公开的实施例是在图2中示意出的实施例的基础上作出的。
如图3所示，该实施例的识别基于CDN流量伪装攻击的方法包括操作S250～操作S260。
在操作S250，创建黑名单库。
本公开的实施例中黑名单库可为小型的数据库，可将根据开源情报信息获取的具有恶意攻击行为的IP信息和历史流量数据中检测出的具有恶意攻击行为的IP信息存储在黑名单库中。
在操作S260，所述若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断之后，将所述CDN流量数据的目的IP记录到所述黑名单库中，以方便在此种IP再次出现时，直接对具有其的CDN流量进行阻断。具体地，如图4所示所示出的操作S270，将所述特征信息中的目的IP信息与所述黑名单库中的IP信息进行匹配，所述特征信息中的目的IP信息存在于所述黑名单库中，则对所述CDN流量进行阻断。
基于上述识别基于CDN流量伪装攻击的方法，本公开还提供了一种识别基于CDN流量伪装攻击的装置。以下将结合图5对该装置进行详细描述。
图5示意性示出了根据本公开实施例的识别基于CDN流量伪装攻击的装置的结构框图。
如图5所示，该实施例的300包括流量获取模块301，第一特征提取模块302，流量判断模块303，阻断模块304。
流量获取模块301，用于实时采集网络节点处的CDN流量数据，对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据，适于执行上述中的步骤S210；
第一特征提取模块302，用于对所述DNS流量数据进行预处理获取特征信息并基于所述特征信息获取特征值，适于执行上述中的步骤220；
流量判断模块303，用于将所述特征值输入分类模型，输出所述CDN流量数据是否存在恶意攻击，适于执行上述中的步骤230；
阻断模块304，用于若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断，适于执行上述中的步骤240。
如图6所示，根据本公开的实施例还包括：黑名单模块305，用于创建黑名单库，并在若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断之后，将所述CDN流量数据的目的IP记录到所述黑名单库中。
现有技术中主要通过部署入侵检测***(IDS)来进行攻击行为或恶意IP的识别。入侵检测***主要是基于威胁情报来识别恶意IP。通过人工查看流量包的方法判断是否攻击行为，再通过溯源方法判断是否该主机被植入木马被远控，发现确认了，再将该IP放入威胁情报库黑名单，从而让入侵检测***再下一次识别。
而本公开的识别基于CDN流量伪装攻击的方法通过实时采集网络节点处的CDN流量数据，对CDN流量数据执行分组处理并从分组处理的结果中获取DNS流量数据；对DNS流量数据进行预处理获取特征信息并基于特征信息获取特征值；将特征值输入分类模型，输出CDN流量数据是否存在恶意攻击；若输出的CND流量数据存在恶意攻击，则对CDN流量进行阻断。本公开的实施例中通过对隐藏IP的CDN流量进行特征提取，将提取到的特征的特征值输入到事先通过机器学习建立的分类模型中，利用分类模型快速识别CDN流量的伪装攻击行为，主动发现恶意攻击。
相比于现有技术，本公开的方法对CND流量中的恶意攻击的识别采用机器学习的方法，准确率可不断改善，且避免了人工查看流量包所导致的耗时耗力的问题。
根据本公开的实施例，流量获取模块301，第一特征提取模块302，流量判断模块303，阻断模块304中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，流量获取模块301，第一特征提取模块302，流量判断模块303，阻断模块304中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，流量获取模块301，第一特征提取模块302，流量判断模块303，阻断模块304中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
图7示意性示出了根据本公开实施例的训练分类模型的方法的流程图。
如图7所示，该实施例的训练分类模型的方法包括操作S280～操作S2100。
在操作S280，基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类；
本公开的实施例中可采用无监督算法中的k-means算法对多个历史采集到的CND流量数据包进行聚类处理，实现对不同历史采集的CND流量数据的标识。
在操作S290，对历史采集的CDN流量数据进行特征提取并获取特征值；
本公开的实施例中特征值的获取过程为对DNS流量数据进行预处理获取特征信息并基于特征信息获取特征值。其中的预处理操作为基于开源情报信息和采集的其他历史CDN流量数据对CDN流量数据的域名信息进行扩展，即以其历史采集到的CND流量数据中的域名信息为参照，结合已经公开的开源情报信息对当前CND流量中的域名信息进行扩展。具体可采用相似字段的查询和获取的方式，获取开源情报信息和历史数据中的相关信息。其中扩展后的域名信息基本包括白名单标记、域名备案信息、CND归属、解析IP、解析次数。本公开的实施例中基于扩展后的域名信息在CDN流量数据即上述中的其他网络流量数据中确定DNS流量数据的访问行为特征，其中访问行为特征包括访问频率、访问时间、访问时长、源IP、目的IP、banner信息、证书信息，对上述访问行为进行统计计算，得出特征值。
在操作S2100，将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练。
本公开的实施例中将分类模型的输出结果与操作S280中的标识结果进行比对，根据比对结果判断是否符合损失函数的收敛条件，在符合损失函数的收敛条件时，分类模型训练完成。
图8示意性示出了根据本公开实施例的训练分类模型的装置的结构框图。
如图8所示，该实施例的500包括流量标记分类模块501，第二特征提取模块502，模型训练模块503。
流量标记分类模块501，用于基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类，适于执行上述中的步骤S280；
第二特征提取模块502，用于对历史采集的CDN流量数据进行特征提取并获取特征值，适于执行上述中的步骤290；
流量判断模块503，用于将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练，适于执行上述中的步骤2100。
根据本公开的训练分类模型的方法通过基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类；对历史采集的CDN流量数据进行特征提取并获取特征值；将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练。本公开的实施例中通过机器学习的方法可训练出能自动识别出CDN流量中是否隐藏恶意攻击的模型。
根据本公开的实施例，流量标记分类模块501，第二特征提取模块502，模型训练模块503中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，流量标记分类模块501，第二特征提取模块502，模型训练模块503中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，流量标记分类模块501，第二特征提取模块502，模型训练模块503中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
图9示意性示出了根据本公开实施例的适于实现识别基于CDN流量伪装攻击的方法的电子设备的方框图。
如图9所示，根据本公开实施例的电子设备400包括处理器401，其可以根据存储在只读存储器(ROM)402中的程序或者从存储部分408加载到随机访问存储器(RAM)403中的程序而执行各种适当的动作和处理。处理器401例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))等等。处理器401还可以包括用于缓存用途的板载存储器。处理器401可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。
在RAM 403中，存储有电子设备400操作所需的各种程序和数据。处理器401、ROM402以及RAM 403通过总线404彼此相连。处理器401通过执行ROM 402和/或RAM 403中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 402和RAM 403以外的一个或多个存储器中。处理器401也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。
根据本公开的实施例，电子设备400还可以包括输入/输出(I/O)接口405，输入/输出(I/O)接口405也连接至总线404。电子设备400还可以包括连接至I/O接口405的以下部件中的一项或多项：包括键盘、鼠标等的输入部分406；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分407；包括硬盘等的存储部分408；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分405。通信部分405经由诸如因特网的网络执行通信处理。驱动器410也根据需要连接至I/O接口405。可拆卸介质411，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器410上，以便于从其上读出的计算机程序根据需要被安装入存储部分408。
本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/***中所包含的；也可以是单独存在，而未装配入该设备/装置/***中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。
根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 402和/或RAM 403和/或ROM 402和RAM 403以外的一个或多个存储器。
本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机***中运行时，该程序代码用于使计算机***实现本公开实施例所提供的物品推荐方法。
在该计算机程序被处理器401执行时执行本公开实施例的***/装置中限定的上述功能。根据本公开的实施例，上文描述的***、装置、模块、单元等可以通过计算机程序模块来实现。
在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分405被下载和安装，和/或从可拆卸介质411被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。
在这样的实施例中，该计算机程序可以通过通信部分405从网络上被下载和安装，和/或从可拆卸介质411被安装。在该计算机程序被处理器401执行时，执行本公开实施例的***中限定的上述功能。根据本公开的实施例，上文描述的***、设备、装置、模块、单元等可以通过计算机程序模块来实现。
根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
附图中的流程图和框图，图示了按照本公开各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。
本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。
以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (15)

1.一种识别基于CDN流量伪装攻击的方法，其特征在于，包括：
实时采集网络节点处的CDN流量数据，对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据；
对所述DNS流量数据进行预处理获取特征信息并基于所述特征信息获取特征值；
将所述特征值输入分类模型，输出所述CDN流量数据是否存在恶意攻击；
若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断。
2.根据权利要求1所述的识别基于CDN流量伪装攻击的方法，其特征在于，所述对所述DNS流量数据进行预处理获取特征信息包括：
基于开源情报信息和采集的历史CDN流量数据对所述CDN流量数据的域名信息进行扩展；
基于扩展后的所述域名信息在所述CDN流量数据中确定所述DNS流量数据的访问行为特征。
3.根据权利要求2所述的识别基于CDN流量伪装攻击的方法，其特征在于，所述扩展后的域名信息包括白名单标记、域名备案信息、CND归属、解析IP、解析次数。
4.根据权利要求2所述的识别基于CDN流量伪装攻击的方法，其特征在于，所述访问行为特征包括访问频率、访问时间、访问时长、源IP、目的IP、banner信息、证书信息。
5.根据权利要求1所述的识别基于CDN流量伪装攻击的方法，其特征在于，还包括：
创建黑名单库；
所述若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断之后，将所述CDN流量数据的目的IP记录到所述黑名单库中。
6.根据权利要求5所述的识别基于CDN流量伪装攻击的方法，其特征在于，在所述将所述特征值输入分类模型之前还包括：
将所述特征信息中的目的IP信息与所述黑名单库中的目的IP信息进行匹配，所述特征信息中的IP信息存在于所述黑名单库中，则对所述CDN流量进行阻断。
7.根据权利要求1所述的识别基于CDN流量伪装攻击的方法，其特征在于，所述实时采集网络节点处的CDN流量数据包括：
对所述网络节点处的CDN流量采用端口镜像采集；
或者对所述网络节点处的CDN流量采用分光器采集。
8.根据权利要求1所述的识别基于CDN流量伪装攻击的方法，其特征在于，所述对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据包括：
根据应用层的DNS协议从所述CND流量中获取所述DNS流量数据。
9.一种基于识别CDN流量伪装攻击的装置，其特征在于，包括：
流量获取模块，用于实时采集网络节点处的CDN流量数据，对所述CDN流量数据执行分组处理并从所述分组处理的结果中获取DNS流量数据；
第一特征提取模块，用于对所述DNS流量数据进行预处理获取特征信息并基于所述特征信息获取特征值；
流量判断模块，用于将所述特征值输入分类模型，输出所述CDN流量数据是否存在恶意攻击；
阻断模块，用于若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断。
10.根据权利要求1所述的基于识别CDN流量伪装攻击的装置，其特征在于，还包括：
黑名单模块，用于创建黑名单库，并在若输出的所述CND流量数据存在恶意攻击，则对所述CDN流量进行阻断之后，将所述CDN流量数据的目的IP记录到所述黑名单库中。
11.一种训练分类模型的方法，其特征在于，包括：
基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类；
对历史采集的CDN流量数据进行特征提取并获取特征值；
将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练。
12.一种训练分类模型的装置，其特征在于，包括：
流量标记分类模块，用于基于无监督聚类算法对历史采集的CDN流量数据进行聚类，所述聚类的结果包括正常访问和恶意攻击两类；
第二特征提取模块，用于对历史采集的CDN流量数据进行特征提取并获取特征值；
模型训练模块，用于将所述特征值作为所述分类模型的输入，基于所述分类模型的输出和所述聚类的结果对所述分类模型进行训练。
13.一种电子设备，包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行根据权利要求1～8中任一项所述的方法。
14.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行根据权利要求1～8中任一项所述的方法。
15.一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现根据权利要求1～8中任一项所述的方法。
CN202111095827.1A 2021-09-17 2021-09-17 识别基于cdn流量伪装攻击的方法、装置、设备和介质 Active CN113794731B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111095827.1A CN113794731B (zh) 2021-09-17 2021-09-17 识别基于cdn流量伪装攻击的方法、装置、设备和介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111095827.1A CN113794731B (zh) 2021-09-17 2021-09-17 识别基于cdn流量伪装攻击的方法、装置、设备和介质

Publications (2)

Publication Number Publication Date
CN113794731A true CN113794731A (zh) 2021-12-14
CN113794731B CN113794731B (zh) 2023-05-02

Family

ID=78878888

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111095827.1A Active CN113794731B (zh) 2021-09-17 2021-09-17 识别基于cdn流量伪装攻击的方法、装置、设备和介质

Country Status (1)

Country Link
CN (1) CN113794731B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114900352A (zh) * 2022-04-25 2022-08-12 中国工商银行股份有限公司 旁路阻断方法、装置、电子设备、介质和程序产品

Citations (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105022960A (zh) * 2015-08-10 2015-11-04 济南大学 基于网络流量的多特征移动终端恶意软件检测方法及***
US9363282B1 (en) * 2014-01-28 2016-06-07 Infoblox Inc. Platforms for implementing an analytics framework for DNS security
CN106713371A (zh) * 2016-12-08 2017-05-24 中国电子科技网络信息安全有限公司 一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法
US20170318035A1 (en) * 2016-04-29 2017-11-02 International Business Machines Corporation Cognitive and contextual detection of malicious dns
CN107517195A (zh) * 2016-06-17 2017-12-26 阿里巴巴集团控股有限公司 一种内容分发网络定位攻击域名的方法和装置
CN109474568A (zh) * 2017-12-25 2019-03-15 北京安天网络安全技术有限公司 针对利用域前置技术实现恶意攻击的检测方法及***
CN109842588A (zh) * 2017-11-27 2019-06-04 腾讯科技（深圳）有限公司 网络数据检测方法及相关设备
US20190362072A1 (en) * 2018-05-22 2019-11-28 International Business Machines Corporation Detecting and delaying effect of machine learning model attacks
CN110519298A (zh) * 2019-09-19 2019-11-29 北京丁牛科技有限公司 一种基于机器学习的Tor流量识别方法及装置
CN111107102A (zh) * 2019-12-31 2020-05-05 上海海事大学 基于大数据实时网络流量异常检测方法
CN111277570A (zh) * 2020-01-10 2020-06-12 中电长城网际***应用有限公司 数据的安全监测方法和装置、电子设备、可读介质
CN111565199A (zh) * 2020-07-14 2020-08-21 腾讯科技（深圳）有限公司 网络攻击信息处理方法、装置、电子设备及存储介质
CN111698260A (zh) * 2020-06-23 2020-09-22 上海观安信息技术股份有限公司 一种基于报文分析的dns劫持检测方法及***
CN111698209A (zh) * 2020-05-08 2020-09-22 国网安徽省电力有限公司亳州供电公司 一种网络异常流量检测方法及装置
CN111953670A (zh) * 2020-07-30 2020-11-17 江苏大学 基于Meek传输插件的自适应混淆方法、***及计算机存储介质
CN112769840A (zh) * 2021-01-15 2021-05-07 杭州安恒信息技术股份有限公司 一种基于强化学习Dyna框架的网络攻击行为识别方法
CN112839054A (zh) * 2021-02-02 2021-05-25 杭州安恒信息技术股份有限公司 一种网络攻击检测方法、装置、设备及介质
CN113315737A (zh) * 2020-02-26 2021-08-27 深信服科技股份有限公司 一种apt攻击检测方法、装置、电子设备及可读存储介质

Patent Citations (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9363282B1 (en) * 2014-01-28 2016-06-07 Infoblox Inc. Platforms for implementing an analytics framework for DNS security
CN105022960A (zh) * 2015-08-10 2015-11-04 济南大学 基于网络流量的多特征移动终端恶意软件检测方法及***
US20170318035A1 (en) * 2016-04-29 2017-11-02 International Business Machines Corporation Cognitive and contextual detection of malicious dns
CN107517195A (zh) * 2016-06-17 2017-12-26 阿里巴巴集团控股有限公司 一种内容分发网络定位攻击域名的方法和装置
CN106713371A (zh) * 2016-12-08 2017-05-24 中国电子科技网络信息安全有限公司 一种基于DNS异常挖掘的Fast Flux僵尸网络检测方法
CN109842588A (zh) * 2017-11-27 2019-06-04 腾讯科技（深圳）有限公司 网络数据检测方法及相关设备
CN109474568A (zh) * 2017-12-25 2019-03-15 北京安天网络安全技术有限公司 针对利用域前置技术实现恶意攻击的检测方法及***
US20190362072A1 (en) * 2018-05-22 2019-11-28 International Business Machines Corporation Detecting and delaying effect of machine learning model attacks
CN110519298A (zh) * 2019-09-19 2019-11-29 北京丁牛科技有限公司 一种基于机器学习的Tor流量识别方法及装置
CN111107102A (zh) * 2019-12-31 2020-05-05 上海海事大学 基于大数据实时网络流量异常检测方法
CN111277570A (zh) * 2020-01-10 2020-06-12 中电长城网际***应用有限公司 数据的安全监测方法和装置、电子设备、可读介质
CN113315737A (zh) * 2020-02-26 2021-08-27 深信服科技股份有限公司 一种apt攻击检测方法、装置、电子设备及可读存储介质
CN111698209A (zh) * 2020-05-08 2020-09-22 国网安徽省电力有限公司亳州供电公司 一种网络异常流量检测方法及装置
CN111698260A (zh) * 2020-06-23 2020-09-22 上海观安信息技术股份有限公司 一种基于报文分析的dns劫持检测方法及***
CN111565199A (zh) * 2020-07-14 2020-08-21 腾讯科技（深圳）有限公司 网络攻击信息处理方法、装置、电子设备及存储介质
CN111953670A (zh) * 2020-07-30 2020-11-17 江苏大学 基于Meek传输插件的自适应混淆方法、***及计算机存储介质
CN112769840A (zh) * 2021-01-15 2021-05-07 杭州安恒信息技术股份有限公司 一种基于强化学习Dyna框架的网络攻击行为识别方法
CN112839054A (zh) * 2021-02-02 2021-05-25 杭州安恒信息技术股份有限公司 一种网络攻击检测方法、装置、设备及介质

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114900352A (zh) * 2022-04-25 2022-08-12 中国工商银行股份有限公司 旁路阻断方法、装置、电子设备、介质和程序产品

Also Published As

Publication number Publication date
CN113794731B (zh) 2023-05-02

Similar Documents

Publication Publication Date Title
US11855968B2 (en) Methods and systems for deep learning based API traffic security
US10102372B2 (en) Behavior profiling for malware detection
US10452843B2 (en) Self-adaptive application programming interface level security monitoring
US10601866B2 (en) Discovering website phishing attacks
US10581908B2 (en) Identifying phishing websites using DOM characteristics
CN110213212B (zh) 一种设备的分类方法和装置
US10284570B2 (en) System and method to detect threats to computer based devices and systems
US9197663B1 (en) Methods and systems for identifying potential enterprise software threats based on visual and non-visual data
CN109729095B (zh) 数据处理方法、装置和计算设备及介质
US10659335B1 (en) Contextual analyses of network traffic
CN110210213B (zh) 过滤恶意样本的方法及装置、存储介质、电子装置
CN109802919B (zh) 一种web网页访问拦截方法及装置
CN111371778B (zh) 攻击团伙的识别方法、装置、计算设备以及介质
US11689550B2 (en) Methods and apparatus to analyze network traffic for malicious activity
CN111049783A (zh) 一种网络攻击的检测方法、装置、设备及存储介质
CN104640105A (zh) 手机病毒分析和威胁关联的方法和***
CN108768934A (zh) 恶意程序发布检测方法、装置以及介质
CN113794731B (zh) 识别基于cdn流量伪装攻击的方法、装置、设备和介质
CN114338171A (zh) 一种黑产攻击检测方法和装置
CN114036360A (zh) 网络爬虫拦截方法、装置、电子设备及可读存储介质
CN113765850B (zh) 物联网异常检测方法、装置、计算设备及计算机存储介质
CN115643044A (zh) 数据处理方法、装置、服务器及存储介质
CN114301713A (zh) 风险访问检测模型的训练方法、风险访问检测方法及装置
US10757117B1 (en) Contextual analyses of network traffic
US20230319106A1 (en) Machine learning uniform resource locator (url) classifier

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant