一种基于DNS日志分析的APT攻击检测方法

摘要

一种基于DNS日志分析的APT攻击检测系统，包括DNS查询日志记录模块、日志分析模块和攻击检测检测模块；同时，利用该检测系统实现了APT的攻击检测：首先，通过DNS查询日志记录模块采集DNS查询请求，形成DNS查询日志；其次，日志分析模块对DNS查询日志与SSH登录尝试信息进行模式匹配，分析计算时间密度、覆盖范围和时间关联；然后，按照源IP地址对SSH登录尝试信息进行分组；最后，攻击检测模块根据日志分析模块的结果判断是否发生攻击并确定攻击类型。本发明是一种轻量级的攻击检测方式，消耗的资源远远小于分析整个网络流量所需资源，且采用日志分析的方式，不需要实时对网络进行监听，从而对网络几乎不产生影响。