DNS服务器异常检测的方-中国互联网络信息中心.PDFVIP

(19)中华人民共和国国家知识产权局 *CN102694696A* (12)发明专利申请 (10)申请公布号 CN 102694696 A (43)申请公布 日 2012.09.26 (21)申请号 201210149372.1 (22)申请 日 2012.05.14 (71)申请人 中国科学院计算机网络信息中心 地址 100190 北京市海淀区中关村南四街四 号 (72)发明人 阳任科 李文 (74)专利代理机构 北京同立钧成知识产权代理 有限公司 11205 代理人 陈鸣 (51) Int.C l. H04L 12/26 (2006.01) H04L 29/12 (2006.01) 权利要求书 2 页 说明书 9 页 附图 2 页 权利要求书2 页 说明书9 页 附图2 页 (54) 发明名称 DNS 服务器异常检测的方法及装置 (57) 摘要 本发明提供一种DNS 服务器异常检测的方法 及装置，方法包括：获取预设时间段内访问DNS 服 务器的各检测参数的访问时间和各所述检测参数 的访问频率，所述检测参数为IP 地址或域名；根 据各访问时间和各访问频率获取卡方统计值，并 根据所述卡方统计值和历史卡方值判断所述DNS 服务器是否出现异常。根据本发明的DNS 服务器 异常检测的方法及装置，能够及时检测出DNS 服 务器的异常。 A 6 9 6 4 9 6 2 0 1 N C CN 102694696 A 权 利 要 求 书 1/2 页 1. 一种DNS 服务器异常检测的方法，其特征在于，包括： 获取预设时间段内访问DNS 服务器的各检测参数的访问时间和各所述检测参数的访 问频率，所述检测参数为IP 地址或域名； 根据各访问时间和各访问频率获取卡方统计值，并根据所述卡方统计值和历史卡方值 判断所述DNS 服务器是否出现异常。 2.根据权利要求1所述的DNS服务器异常检测的方法，其特征在于，所述根据所述卡方 统计值和历史卡方值判断所述DNS 服务器是否出现异常包括： 当所述卡方统计值与所述历史卡方值的差值超过预设阈值时，判断所述DNS 服务器出 现异常并发出报警信息。 3.根据权利要求1所述的DNS服务器异常检测方法，其特征在于，获取预设时间段内访 问DNS 服务器的各检测参数的访问时间和各所述检测参数的访问频率包括： 在预设时间段内，当检测参数出现时，获取该检测参数对应记录的访问时间和访问频 率； 将访问频率与公式exp [age1 ·ln (0.5)/halflife2] 相乘，并将最终结果加1 后更新为 访问频率； 其中，age1 为同一检测参数本次出现距离上一次出现的时间间隔，halflife1 为第一 半衰期。 4. 根据权利要求3 所述的DNS 服务器异常检测的方法，其特征在于，在所述获取访问 DNS 服务器的各检测参数和各检测参数的访问频率之后还包括： 根据所述访问频率对所述检测参数进行分组处理。 5.根据权利要求4所述的DNS服务器异常检测的方法，其特征在于，根据所述访问频率 对所述检测参数进行分组处理包括 : 将所述访问频率最高的检测参数划分为第一组； 将所述访问频率位于第2 位至第5 位的检测参数划分为第二组； 将所述访问频率位于第6 位至21 位的检测参数划分为第三组； 将所述访问频率位于第22 位至第227 位的检测参数划分为第四组； 将剩余的检测参数划分为第五组。 6.根据权利要求4 或5所述的DNS