基于信息熵与服务器识别的 DoH 流量检测

来源：计算机技术与发展杂志2024年第04期北京时间：

作者：徐魁;海洋;李晓辉;陶军

单位：1. 宝鸡市公安局通信处,陕西 宝鸡 721014;2. 宝鸡创天清航科技发展有限责任公司,陕西 宝鸡 721000;3. 东南大学 网络空间安全学院,江苏 南京 211189

摘要：DNS over HTTPS( DoH)协议是一种针对域名系统( DNS) 的最新改进方案,然而用户可使用第三方 DoH 服务规避内网原有的监管,所以异常流量检测方法不再适用于检测 DoH 流量。 针对该问题提出了一种 DTESI 算法。 首先,基于信息熵将 DoH 流量作为异常流量从全部网络流量中筛选出来;然后,利用 DoH 服务器与同一客户端建立 TLS 连接时响应方式总是相同的特性,用指纹识别检测客户端与 DoH 服务器之间的 TLS 协商,确定 DoH 服务器身份;最后,使用 Top-K 抽样算法选出一定时段内网络中前 K 台活跃主机着重进行流量检测,使算法能应用于中大型组织的网络。 实验结果表明,针对发现的异常流量,DTESI 算法检测出的 DoH 服务提供商准确率超过 94% 。 在此基础上比较了在不同 K 值下的算法检测时间和对网络中全部 DoH 流量的检测覆盖率,结果表明合理选择 K 值可以提升算法的整体效能。

关键词：DNS over HTTPS;网络流量检测;信息熵;指纹识别;TLS 协议