[发明专利]一种对算法生成域名进行检测的方法及装置

权利要求书

1.一种对算法生成域名进行检测的方法，其特征在于，包括：

基于概率模型生成算法，根据算法生成域名集建立随机模型，并根据正常域名集建立正常模型；

根据所述随机模型和所述正常模型对算法生成域名进行检测；

所述基于概率模型生成算法，根据算法生成域名集建立随机模型，并根据正常域名集建立正常模型具体包括：

基于概率模型生成算法，计算正常域名集的初始字符概率矩阵π₁和字符转换概率矩阵B₁，建立正常模型M₁＝B₁，π₁，并计算算法生成域名集的初始字符概率矩阵π₂和字符转换概率矩阵B₂，建立随机模型M2＝B₂，π₂；

所述根据所述随机模型和所述正常模型对算法生成域名进行检测，具体包括：

以访问ip为单位，维护预定长度t_w的待检测域名队列，当队列满时，对其中的域名进行处理，提取转换元组序列集合CharSeqSet；

对每个访问ip的转换元组序列集合CharSeqSet中的每个字符转换元组序列计算其属于正常域名的概率P1_i和属于算法生成域名的概率P2_i，其中：

当P1_iP2_i，则标记待检测域名队列中的第i个域名为正常域名，否则，标记为算法生成域名；

对标记后的域名进行窗口投票，若待检测域名队列当中的算法生成域名的数量大于预设阈值数量t_m，则将该ip和待检测域名队列中的算法生成域名标记为异常；

其中，属于初始字符概率矩阵π₁，属于字符转换概率矩阵B₁，属于初始字符概率矩阵π₂，属于字符转换概率矩阵B₂，CharSeq_i为第i个字符转换元组，为第n个字符转换元，k为自然数，n为转换元组序列的总数。

2.根据权利要求1所述的方法，其特征在于，所述基于概率模型生成算法，根据算法生成域名集建立随机模型，并根据正常域名集建立正常模型之后，还包括：

对域名系统DNS的访问数据进行噪声过滤，得到有效信息元组Info；

所述有效信息元组包括：访问ip，域名和时间戳。

3.根据权利要求2所述的方法，其特征在于，所述对域名系统DNS的访问数据进行噪声过滤具体包括：

对所述域名系统DNS的访问数据中信息记录错误和白名单列表当中的域名进行过滤。

4.根据权利要求1所述的方法，其特征在于，所述提取转换元组序列集合CharSeqSet，具体包括：

对于待检测域名队列中的每个域名，提取其字符转换元组，得到字符转换元组序列形成预定大小的转换元组序列集合