[发明专利]一种基于URLs极大模式的恶意URL检测方法

权利要求书

1.一种基于URLs极大模式的恶意URL检测方法，其步骤为：

1)创建或选取一恶意URL训练样本集，将其中每一恶意URL分割成三个段：域名、路 径名、文件名，分别对应得到域名段模式集合、路径名段序列模式集合、文件名段模 式集合；

2)计算该域名段模式集合的极大段模式集合并记录集合中每一极大段模式的样本来源 编号，计算该文件名段模式集合的极大段模式集合并记录集合中每一极大段模式的样 本来源编号，计算该路径名段模式集合的极大段序列模式集合并记录集合中每一极大 段序列模式的样本来源编号；

3)根据样本来源编号对域名段模式集合的极大段模式集合中的极大段模式、文件名段模 式集合的极大段模式集合中的极大段模式和路径名段序列模式集合的极大段序列模 式集合中的极大段序列模式进行组合，得到多个URL极大模式，构成一URL极大模 式集；

4)利用该URL极大模式集与被检测的URL进行匹配；如果匹配，则判断该被检测的 URL为恶意URL。

2.如权利要求1所述的方法，其特征在于，计算所述域名段模式集合的极大段模式集合的方 法为：首先根据该域名段模式集合构成一段模式集合；其中，从该域名段模式集合的每一 域名段模式中分别提取一段模式，构成一该段模式集合；然后对于该段模式集合计算其极 大段模式集合，即先计算该段模式集合中两段模式s₁、s₂的极大段模式集合；然后计算该 极大段模式集合与该段模式集合中一未参与计算的段模式s₃的极大段模式集合；依此类 推，计算最新得到的极大段模式集合与该段模式集合中一未参与计算的段模式s_i的极大段 模式集合，最终得到该段模式集合对应的极大段模式集合。

3.如权利要求1所述的方法，其特征在于，计算所述文件名段模式集合的极大段模式集合的 方法为：首先根据该文件名段模式集合构成一段模式集合；其中，从该文件名段模式集合 的每一文件名段模式中分别提取一段模式，构成一该段模式集合；然后对于该段模式集合 计算其极大段模式集合，即先计算该段模式集合中两段模式s₁、s₂的极大段模式集合；然 后计算该极大段模式集合与该段模式集合中一未参与计算的段模式s₃的极大段模式集合； 依此类推，计算最新得到的极大段模式集合与该段模式集合中一未参与计算的段模式s_i的极大段模式集合，最终得到该段模式集合对应的极大段模式集合。

4.如权利要求1所述的方法，其特征在于，计算该路径名段序列模式集合的极大段序列模式 集合的方法为：首先根据该路径名段序列模式集合构成一段序列模式集合；其中，从该路 径名段序列模式集合的每一路径名序列段模式中分别提取一段序列模式，构成一该段序列 模式集合；然后对于该段序列模式集合计算其极大段序列模式集合，即先计算该段序列模 式集合中两段序列模式s₁、s₂的极大段序列模式集合；然后计算该极大段序列模式集合与 该段序列模式集合中一未参与计算的段序列模式s₃的极大段序列模式集合；依此类推，计 算最新得到的极大段序列模式集合与该段序列模式集合中一未参与计算的段序列模式s_i的极大段序列模式集合，最终得到该段序列模式集合对应的极大段序列模式集合。

5.如权利要求1所述的方法，其特征在于，采用有穷自动机方法将该URL极大模式集与被 检测的URL进行匹配。