随着网络技术的蓬勃发展,网络安全问题也愈演愈烈,恶意的网络行为和流量活动破坏了网络生态和秩序,带来不可估量的损失。传统的网络安全技术在新型的网络安全问题面前显得低效且迟钝,大数据安全分析正逐渐成为网络管理和网络安全态势感知的强有力手段。在域名安全领域,DNS流量监测技术应用越来越广泛,该技术对实时的DNS流量进行采集、监测和分析,从而发现网络需要被监测的域名对象,获取有用的威胁情报信息,助力安全态势感知系统的构建。本论文就是通过对江苏省网与CERNET主干网之间的DNS流量进行监测,识别其中的IDN及多层多域名,并对IDN进行服务发现和影响力分析来揭示IDN在被管网络内的生存现状。首先,为了实现实时高效地进行DNS流量采集、处理、检测和存储,满足IDN域名监测及服务发现的需求,论文针对当前安全保障系统中域名监测子系统存在的缺陷和问题做出了改进,包括增加IDN、多层多域名检测算法、设计检测结果存储表、引入多线程提高源数据文件的处理速度,分库分表提升域名信息数据库可用性。其次,针对域名监测过程中发现的多层多域名结构进行了分析。设计并实现了基于DNS流量的多层多域名检测算法,从而排除域名监测过程中的干扰因素,筛选出有服务意义的站点域名,提高了域名监测的准确性和效率。然后,对识别出的IDN进行服务分类和进一步的服务发现。基于端口的服务分类算法能够对域名背后的服务器可能提供的服务类别按照协议进行粗略划分,而基于IP流量的服务发现算法则能对提供WEB服务的站点所承载的业务进行更详细的识别和发现。本文对比分析了多种监督学习分类算法,最终选择了随机森林构建服务发现算法的分类模型;并通过分析提供不同服务的网站在与客户端通信时的流量差异选取了分类测度。实现了对提供站点服务的IDN主域名所扮演的服务角色的判定和发现。最后,为了更好地了解被管网络内IDN的基本情况和变化情况,揭示IDN的渗透程度和生存现状。论文从宏观和微观两个角度对IDN的影响力进行了分析,宏观上IDN整体影响力分析包括对被管网络内所有IDN语种分布、地理分布、服务分布、服务规模等的分析;微观上基于“4C”评估法构建IDN影响力级别评估模型对单个IDN的影响力等级进行分析和判定。为了更好的表现IDN的影响力,论文还设计并实现了IDN观测系统从时间、空间、数量多维度对CERNET主干网江苏省网边界发现的所有IDN的分布和通信情况进行了可视化。