DNS隧道识别方法、DNS隧道识别装置、存储介质

摘要

本发明提供DNS隧道识别方法、DNS隧道识别装置、存储介质。DNS隧道识别方法，包括：DNS隧道检测模型建立步骤，模拟DNS隧道，抓取DNS隧道数据和正常DNS数据并按倒数第二级域名分组，将分组后的每组数据的特征作为训练数据而建立DNS隧道检测模型；DNS隧道疑似度阈值计算步骤，抓取正常DNS数据中的与DNS隧道数据相似的数据并按倒数第二级域名分组，将分组后的每组数据的特征分别输入到DNS隧道检测模型，将各组数据的DNS隧道检测模型的输出值中的最大值作为DNS隧道疑似度第一阈值；DNS隧道检测步骤，将待检测DNS数据的特征输入到DNS隧道检测模型，当待检测DNS数据的DNS隧道检测模型的输出值高于DNS隧道疑似度第一阈值时判断为待检测DNS数据是DNS隧道数据。