[发明专利]基于随机森林的DGA域名检测方法

权利要求书

1.基于随机森林的DGA域名检测方法，其特征在于：包括以下步骤，

步骤一，构建知识库，包括构建黑白名单样本库和单词词典；

步骤二，设定域名特征模板，将黑白名单中的域名作为训练集，过滤掉噪音，训练并离线保存随机森林算法模型；

所述域名特征模板可根据训练反馈进行修改；

步骤三，获取待检测域名，加载最优随机森林算法模型，将待检测域名作为输入，得到预测结果；

黑名单为通过开源渠道获取的恶意域名，白名单为通过开源渠道获取的合法域名，单词词典由英文单词和字母组合构成；

所述特征模板中的特征包括域名长度、域名信息熵、域名语音性、域名中元音字符数、域名中数字字符数、域名中重复字母数、域名中连续数字字符数、域名中非元音连续字符数、域名中N元语言模型在白名单中得分以及域名中N元语言模型在单词词典中得分；

计算域名信息熵的公式为，

其中，H为域名信息熵，P_i为每个字母P在域名中出现的频率，n表示域名中不重复的字符数；

所述域名语音性通过马尔卡夫链预测，具体过程为，

A1)读取训练集合，得到转移矩阵；

A2)读取正例样本和反例样本，将样本作为马尔卡夫链模型输入，得到预测的概率值，根据正例样本的概率值和反例样本的概率值确定语音性阈值；

所述正例样本为具有可读性/语言性的合法域名；所述反例样本为不可读/不具有语言性的域名；

A3)将域名作为输入，根据语音性阈值判断该域名是否具有语音性；

所述域名中元音字符数主要统计域名中包含的元音字母“a”、“e”、“i”、“o”、“u”的字符数；

所述域名中数字字符数主要统计域名中包含的“0”、“1”、“2”、“3”、“4”、“5”、“6”、“7”、“8”、“9”的字符数；

域名中N元语言模型在白名单中得分计算过程，

B1)训练白名单中N元语言模型；

统计白名单中所有N元对及其频率，将统计结果以矩阵形式保存；其中，矩阵的行是白名单域名索引，矩阵的列是所有白名单包含的N元对索引；

B2)计算待检测域名在N元语言模型中的得分；

将域名中出现的N元对与训练得到的矩阵中的N元对频率进行相乘后累加，具体公式为，

其中，S为域名中N元语言模型在白名单中得分，M为存储的矩阵，k为行索引总数，n′为列索引总数，D_j表示域名在矩阵M中第j个N元对出现的频率；

域名中N元语言模型在单词词典中得分计算过程与域名中N元语言模型在白名单中得分计算过程相同，仅是将白名单替换成单词词典。

2.根据权利要求1所述的基于随机森林的DGA域名检测方法，其特征在于：所述噪音为对应特征值与域名类别不相符的域名。

3.根据权利要求1-2任意一项所述的基于随机森林的DGA域名检测方法，其特征在于：所述域名为去除TLD和前缀字符的主体部分。

4.根据权利要求1所述的基于随机森林的DGA域名检测方法，其特征在于：随机森林算法实现过程为，

C1)样本选择；

假设每轮从原始训练集中通过有放回抽样的方式抽取m个样例，得到一个大小为m的训练集，共进行Q轮的抽取，则每轮抽取的训练集分别为T₁，T₂，…，T_Q；

C2)决策树生成；

假如特征空间共有E个特征，则在每一轮生成决策树的过程中，从E个特征中随机选择其中的e个特征，组成一个新的特征集，e<E，通过使用新的特征集来生成决策树，Q轮中共生成Q个决策树，Q个决策树之间是相互独立；

C3)模型预测；

对于分类问题，使用所有的决策树投票来确定最终分类结果。