[发明专利]基于情报分析的恶意域名检测方法及装置

权利要求书

1.一种基于情报分析的恶意域名检测方法，其特征在于，所述恶意域名检测方法包括：

获取网络中的通信数据；

对所述通信数据进行解析，以提取出所述通信数据中涉及到的源主机的IP、所述源主机所查询的域名以及查询所述域名的时间；以及

查询域名风险等级数据库，以确定所述源主机所查询的域名是否存在于所述域名风险等级数据库中，如果存在，则从所述域名风险等级数据库中取出并呈现与所述域名相对应的风险等级结果，如果不存在，则对所述域名进行风险等级评估并呈现风险等级评估结果，

其中，所述风险等级评估包括搜索引擎收录情况分析和互联网档案馆分析，所述搜索引擎收录情况分析和所述互联网档案馆分析分别被分配第一权重和第二权重，所述搜索引擎收录情况分析判定所述域名是否被搜索引擎所收录并分析搜索引擎对所述域名的网页级别评分，并基于分析判定结果和所述第一权重计算所述域名的第一风险分值，所述互联网档案馆分析用于在互联网档案馆中查询并分析所述域名的历史活动记录和/或历史快照并基于分析结果和所述第二权重计算所述域名的第二风险分值，所述风险等级评估结果的计算基于所述第一风险分值和所述第二风险分值。

2.如权利要求1所述的恶意域名检测方法，其特征在于，所述风险等级评估还包括域名注册信息关联分析，所述域名注册信息关联分析被分配第三权重，所述域名注册信息关联分析判定所述域名的注册信息的全面性和/或真实性，并基于判定结果和所述第三权重计算所述域名的第三风险分值，并且所述风险等级评估结果的计算还基于所述第三风险分值。

3.如权利要求1所述的恶意域名检测方法，其特征在于，所述风险等级评估还包括高频访问名单分析，所述高频访问名单分析被分配第四权重，所述高频访问名单分析判定所述域名当前和在过去的预设时间段内是否均在或者是否均不在所述源主机访问频率最高的前若干位域名名单内，并基于判定结果和所述第四权重计算所述域名的第四风险分值，并且所述风险等级评估结果的计算还基于所述第四风险分值。

4.如权利要求1所述的恶意域名检测方法，其特征在于，所述风险等级评估还包括故障监测分析，所述故障监测分析被分配第五权重，所述故障监测分析用于在所述域名的域名服务器发生故障时监测对所述域名服务器发送重新查询请求的主机数目，并基于监测结果和所述第五权重计算所述域名的第五风险分值，并且所述风险等级评估结果的计算还基于所述第五风险分值。

5.如权利要求1所述的恶意域名检测方法，其特征在于，所述风险等级评估还包括异常心跳分析，所述异常心跳分析被分配第六权重，所述异常心跳分析判定所述源主机在单位时间间隔内对所述域名的查询请求是否存在规律性，并基于判定结果和所述第六权重计算所述域名的第六风险分值，并且所述风险等级评估结果的计算还基于所述第六风险分值。

6.如权利要求1所述的恶意域名检测方法，其特征在于，所述风险等级评估还包括子域名语义分析，所述子域名语义分析被分配第七权重，所述子域名语义分析判定所述源主机所查询的域名的子域名是否具有实际意义，并基于判定结果和所述第七权重计算所述域名的第七风险分值，并且所述风险等级评估结果的计算还基于所述第七风险分值。

7.如权利要求1-6中的任一项所述的恶意域名检测方法，其特征在于，所述恶意域名检测方法还包括：在进行风险等级评估之后，将所述域名以及与所述域名相对应的所述风险等级评估结果录入到所述域名风险等级数据库中。