[发明专利]异常域名的检测方法及装置

权利要求书

1.一种异常域名的检测方法，其特征在于，包括：

获取待检测域名集合中每个待检测域名的离线特征和在线特征，其中，所述离线特征是通过对每个待检测域名关联的历史访问数据进行分析后提取得到的，所述在线特征是根据每个待检测域名的自身属性确定的；

将所述离线特征和所述在线特征进行融合组成每个待检测域名的特征向量；

对组成后的全部特征向量进行聚类分析，从所述待检测域名集合中检测出异常域名。

2.根据权利要求1所述的方法，其特征在于，所述离线特征包括以下至少之一：

所述待检测域名下的子域名的生存时间TTL特征；

所述待检测域名下的子域名的访问量特征；

所述待检测域名下的子域名的自身属性特征；

所述待检测域名对应的互联网协议I P地址特征。

3.根据权利要求1所述的方法，其特征在于，所述在线特征包括以下至少之一：

根据预设规则对每个待检测域名包含的部分或全部字符进行统计分析得到的特征；

通过对预设数量的域名进行训练，获取一个或多个连续字符的排列规律或者每相邻多个字符之间的转移概率，并根据所述排列规律或所述转移概率对每个待检测域名包含的部分或全部字符进行统计分析得到的特征。

4.根据权利要求1所述的方法，其特征在于，将所述离线特征和所述在线特征进行融合组成每个待检测域名的特征向量包括：

对所述离线特征和所述在线特征进行融合处理，组成每个待检测域名的待处理特征向量，其中，所述待处理特征向量的向量维度由所述离线特征和所述在线特征所包含的总体特征数量确定的；

对所述待处理特征向量进行归一化处理，得到每个待检测域名的特征向量。

5.根据权利要求1所述的方法，其特征在于，对所述组成后的全部特征向量进行聚类分析，从所述待检测域名集合中检测出异常域名包括：

根据所述组成后的全部特征向量相互间的相似度对所述组成后的全部特征向量进行聚类处理，将所述组成后的全部特征向量划分为多个簇；

从所述多个簇中检测出第一部分特征向量和/或第二部分特征向量，其中，所述第一部分特征向量所归属的簇中包含的特征向量的数量小于第一预设阈值，所述第二部分特征向量中的每个特征向量与该特征向量所归属的簇中心之间的距离大于第二预设阈值；

根据所述第一部分特征向量和/或所述第二部分特征向量确定所述异常域名。

6.根据权利要求1至5中任一项所述的方法，其特征在于，在获取所述待检测域名集合中每个待检测域名的所述离线特征和所述在线特征之前，还包括：

接收来自于终端的访问请求，其中，所述访问请求中携带有待访问域名；

从所述访问请求中提出所述待访问域名，添加至所述待检测域名集合。

7.根据权利要求6中任一项所述的方法，其特征在于，在从所述待检测域名集合中检测出所述异常域名之后，还包括：

向所述终端发送通知消息，其中，所述通知消息用于将所述待访问域名为异常域名的事件通知给所述终端。

8.一种异常域名的检测装置，其特征在于，包括：

获取模块，用于获取待检测域名集合中每个待检测域名的离线特征和在线特征，其中，所述离线特征是通过对每个待检测域名关联的历史访问数据进行分析后提取得到的，所述在线特征是根据每个待检测域名的自身属性确定的；

融合模块，用于将所述离线特征和所述在线特征进行融合组成每个待检测域名的特征向量；

检测模块，用于对组成后的全部特征向量进行聚类分析，从所述待检测域名集合中检测出异常域名。

9.根据权利要求8所述的装置，其特征在于，所述离线特征包括以下至少之一：

所述待检测域名下的子域名的生存时间TTL特征；

所述待检测域名下的子域名的访问量特征；

所述待检测域名下的子域名的自身属性特征；

所述待检测域名对应的互联网协议I P地址特征。