基于日志信息的DNS查询异常检测算法

doi:10.13190/j.jbupt.2018-007

北京邮电大学学报 ›› 2018, Vol. 41 ›› Issue (6): 83-89.doi: 10.13190/j.jbupt.2018-007

基于日志信息的DNS查询异常检测算法

吉星¹, 黄韬¹, 鄂新华², 孙礼¹

1. 北京邮电大学信息与通信工程学院, 北京 100876;
2. 北京工业大学北京未来网络科技高精尖创新中心, 北京 100124

收稿日期:2018-01-09 出版日期:2018-12-28 发布日期:2018-12-24
作者简介:吉星(1994-),男,硕士生,E-mail:jixing@bupt.edu.cn;孙礼(1959-),男,副教授.
基金资助:
国家重点基础研究发展计划（973计划）项目（2012CB315801-1）；国家自然科学基金项目（61502049）；中国工程院重大咨询研究项目（2012-ZD-6-7）

A DNS Query Anomaly Detection Algorithm Based on Log Information

JI Xing¹, HUANG Tao¹, E Xin-hua², SUN Li¹

1. School of Information and Communication Engineering, Beijing University of Posts and Telecommunications, Beijing 100876, China;
2. Beijing Advanced Innovation Center for Future Internet Technology, Beijing University of Technology, Beijing 100124, China

Received:2018-01-09 Online:2018-12-28 Published:2018-12-24

摘要/Abstract

摘要： 针对域名系统（DNS）中存在异常查询的问题，提出了一种基于日志信息的DNS查询异常检测算法，以检测异常的互联网协议地址（IP）.通过分析DNS正常与异常请求行为的区别，提取了DNS日志中多个维度的信息来表征源IP；其次，利用降维处理将数据映射到三维空间，以便直观地可视化呈现和快速地进行数据分析；最后，利用聚类分析和计算各源IP的可信度，检测出异常的源IP.实验结果表明，所提算法不但能直观观察到多维数据集中的关联特性，而且能从全局和局部2个层面识别网络中异常的源IP.

关键词: 域名系统查询, 降维, 聚类分析, 异常检测

Abstract: Point at the anomaly queries existing in domain name system (DNS), an anomaly detection algorithm based on DNS query logs is proposed to detect suspicious and abnormal internet protocol addresses (IP). First, multiple dimensions of information in the DNS logs are extracted to characterize the source IPs after analyzing the difference between normal DNS query behaviors and the abnormal ones. Secondly, the datasets are mapped to a three-dimensional space through dimensionality reduction, which is beneficial for intuitive visualization and rapid data analysis. Finally, clustering the source IPs and calculating the credibility of them to identify the abnormal ones. The experiment results show that this algorithm can not only observe the correlation characteristics of multi-dimensional datasets directly, but also identify the abnormal source IPs in the global and local aspects.

Key words: domain name system query, dimensionality reduction, cluster analysis, anomaly detection

中图分类号:

TN915.02

吉星, 黄韬, 鄂新华, 孙礼. 基于日志信息的DNS查询异常检测算法[J]. 北京邮电大学学报, 2018, 41(6): 83-89.

JI Xing, HUANG Tao, E Xin-hua, SUN Li. A DNS Query Anomaly Detection Algorithm Based on Log Information[J]. JOURNAL OF BEIJING UNIVERSITY OF POSTS AND TELECOM, 2018, 41(6): 83-89.

参考文献

[1] Jung J Y, Sit E, Balakrishnan H, et al. DNS performance and the effectiveness of caching[J]. IEEE/ACM Transactions on Networking, 2002, 10(5):589-603.
[2] Shan Guihua, Wang Yang, Xie Maojin, et al. Visual detection of anomalies in DNS query log data[C]//IEEE Pacific Visualization Symposium. New York:IEEE Press, 2014:258-261.
[3] 林成虎, 李晓东, 金键, 等. 基于W-Kmeans算法的DNS流量异常检测[J]. 计算机工程与设计, 2013, 34(6):2104-2108. Lin Chenghu, Li Xiaodong, Jin Jian, et al. DNS traffic anomaly detection based on W-Kmeans algorithm[J]. Computer Engineering and Design, 2013, 34(6):2104-2108.
[4] 王靖云, 史建焘, 张兆心, 等. 基于相对密度的DNS请求数据流源IP异常检测算法[J]. 高技术通讯, 2016, 26(10-11):849-856. Wang Jingyun, Shi Jiantao, Zhang Zhaoxin, et al. An algorithm for detection of source IP anomalies in DNS query based on relative density[J]. High Technology Letters, 2016, 26(10-11):849-856.
[5] 马云龙, 姜彩萍, 张千里, 等. 基于IPFIX的DNS异常行为检测方法[J]. 通信学报, 2014, 35(增刊1):5-9. Ma Yunlong, Jiang Caiping, Zhang Qianli, et al. DNS abnormal behavior detection based on IPFIX[J]. Journal on Communications, 2014, 35(Sup1):5-9.
[6] 周昌令, 栾兴龙, 肖建国. 基于深度学习的域名查询行为向量空间嵌入[J]. 通信学报, 2016, 37(3):165-174. Zhou Changling, Luan Xinglong, Xiao Jianguo. Vector space embedding of DNS query behaviors by deep learning[J]. Journal on Communications, 2016, 37(3):165-174.
[7] Schölkopf B, Smola A J, Müller K R. Kernel principal component analysis[C]//7^th International Conference on Artificial Neural Networks (ICANN). Berlin:Springer, 1997:583-588.
[8] Davies D L, Bouldin D W. A cluster separation measure[J]. IEEE Transactions on Pattern Analysis and Machine Intelligence, 1979, 1(2):224-227.
[9] Jenssen R. Kernel entropy component analysis[J]. IEEE Transactions on Pattern Analysis and Machine Intelligence, 2010, 32(5):847-860.

[1]	霍纬纲, 王星, 梁锐. 融合互信息估计和对抗自编码器的异常检测[J]. 北京邮电大学学报, 2021, 44(5): 28-34.
[2]	邱雪松, 张珣, 宋彦斌, 赵兵, 徐思雅. 基于熵和线性关系的两级流量异常检测方法[J]. 北京邮电大学学报, 2018, 41(4): 56-62.
[3]	应斐昊, 邢宁哲, 纪雨彤, 纪晨晨, 李文璟. 基于KTLAD的电力数据网业务流量异常检测[J]. 北京邮电大学学报, 2017, 40(s1): 108-111.
[4]	赵建龙, 曲桦, 赵季红. 基于k-近邻域中心偏移的鲁棒性异常检测算法[J]. 北京邮电大学学报, 2017, 40(4): 54-59.
[5]	曾兴东, 林荣恒, 邹华, 张勇. 面向配电网故障数据的BIC评估后向选择方法[J]. 北京邮电大学学报, 2017, 40(3): 104-109.
[6]	赵金东, 于彦伟, 刘惊雷. 面向实时海量数据流的数据聚类[J]. 北京邮电大学学报, 2016, 39(3): 114-119.
[7]	赵学军, 王晓娟, 于凯敏, 乔旭. 模拟退火优化FCM聚类高光谱图像压缩研究[J]. 北京邮电大学学报, 2015, 38(5): 58-61,70.
[8]	张乐君, 国林, 张健沛, 杨静, 夏磊. 测度属性关系分析的分布式系统异常检测[J]. 北京邮电大学学报, 2013, 36(6): 69-73.
[9]	张春红, 胡清源, 程时端. 基于降维算法的分布式语义资源搜索[J]. 北京邮电大学学报, 2013, 36(2): 74-78.
[10]	邱雪松;陈坚;郭海生;高志鹏. 企业IT网络异常流量综合检测模型[J]. 北京邮电大学学报, 2009, 32(6): 28-31.
[11]	吕述望，刘恒，沈昌祥. TCP/IP骨干通信网流量规律性及异常检测方法[J]. 北京邮电大学学报, 2005, 28(6): 1-4.
[12]	韦再雪，杨大成. 一种根据传播环境分类校正传播模型的方法[J]. 北京邮电大学学报, 2005, 28(5): 117-120.
[13]	鲜继清,郎风华. 基于CSA无监督模糊聚类算法的异常检测方法[J]. 北京邮电大学学报, 2005, 28(4): 103-106.

基于日志信息的DNS查询异常检测算法

A DNS Query Anomaly Detection Algorithm Based on Log Information

PDF

可视化

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 13

编辑推荐

Metrics

本文评价