[发明专利]一种对算法生成域名进行检测的方法及装置

说明书

本发明公开了一种对算法生成域名进行检测的方法及装置，本发明通过概率模型生成算法，分别根据算法生成域名集和正常域名集建立随机模型和正常模型，并通过上述模型对算法生成域名进行检测，从而实现对算法生成域名进行快速检测，进而有效解决了现有技术不能对算法生成域名进行快速检测的问题。

技术领域

本发明涉及通信技术领域，特别是涉及一种对算法生成域名进行检测的方法及装置。

背景技术

相对于早期的蠕虫、病毒等不受控的恶意软件，当前绝大多数攻击者都会通过一个命令与控制(CC)信道控制他们的恶意软件，来实施其更具目的性的攻击行为。同时，由于域名系统(Domain Name System，DNS)所带来的便捷性，使用DNS来定位CC服务器变成一种主流方式。

攻击者为了逃避检测，会采用域名生成算法(Domain Generation Algorithm,DGA)，每隔一段时间生成大量的随机域名进行访问，这些域名也被称为算法生成域名，来确定真正CC域名。以知名的僵尸网络conficker为例，其每小时生成250个域名，并随机选择其中32个进行连接尝试。

在相关研究方面，基于DNS访问行为特征的检测是对算法生成域名进行检测的一种常见方法。这种方法通过对访问算法生成域名的访问行为进行分析，提取能够对域名的进行描述的特征，建立对应的域名检测模型或者统计出特定的阈值，然后利用这个域名检测模型或阈值对未知算法生成域名进行检测。

但是，在提取DNS访问流量的时间特性时，往往需要很大的计算资源，使得这种检测方法很有可能无法对算法生成域名进行快速响应。同时，攻击者对自己控制域名更换的非常频繁，若无法对这些域名进行快速响应，对它们造成的影响将大大降低。

发明内容

本发明提供了一种对算法生成域名进行检测的方法及装置，以解决现有技术不能对算法生成域名进行快速检测的问题。

本发明一方面提供了一种对算法生成域名进行检测的方法，包括：

基于概率模型生成算法，根据算法生成域名集建立随机模型，并根据正常域名集建立正常模型；

根据所述随机模型和所述正常模型对算法生成域名进行检测。

进一步地，所述基于概率模型生成算法，根据算法生成域名集建立随机模型，并根据正常域名集建立正常模型具体包括：

基于概率模型生成算法，计算正常域名集的初始字符概率矩阵π₁和字符转换概率矩阵B₁，建立正常模型M₁＝B₁，π₁，并计算算法生成域名集的初始字符概率矩阵π₂和字符转换概率矩阵B₂，建立随机模型M2＝B₂，π₂。

进一步地，所述基于概率模型生成算法，根据算法生成域名集建立随机模型，并根据正常域名集建立正常模型之后，还包括：

对域名系统DNS的访问数据进行噪声过滤，得到有效信息元组Info；

所述有效信息元组包括：访问ip，域名和时间戳。

进一步地，所述对域名系统DNS的访问数据进行噪声过滤具体包括：

对所述域名系统DNS的访问数据中信息记录错误和白名单列表当中的域名进行过滤。

进一步地，所述根据所述随机模型和所述正常模型对算法生成域名进行检测，具体包括：

以访问ip为单位，维护预定长度t_w的待检测域名队列，当队列满时，对其中的域名进行处理，提取转换元组序列集合CharSeqSet；