[发明专利]异常域名的检测方法及装置

说明书

本发明公开了一种异常域名的检测方法及装置。其中，该方法包括：获取待检测域名集合中每个待检测域名的离线特征和在线特征，其中，离线特征是通过对每个待检测域名关联的历史访问数据进行分析后提取得到的，在线特征是根据每个待检测域名的自身属性确定的；将离线特征和在线特征进行融合组成每个待检测域名对应的特征向量；对组成后的全部特征向量进行聚类分析，从待检测域名集合中检测出异常域名。本发明解决了相关技术中所提供的异常域名检测方案的检测手段单一，缺乏全面性，易导致异常域名检测的误判与漏判的技术问题。

技术领域

本发明涉及互联网领域，具体而言，涉及一种异常域名的检测方法及装置。

背景技术

近些年来，随着云计算业务的蓬勃发展，诸多站点为了节省成本，都将其架设在云服务器上，由此造成云服务器上承载有众多各式各样的站点，然而，云服务器无法确定其中哪些站点为异常站点，例如：钓鱼网站、黄色网站、病毒网站，因此，作为云服务器提供方，需要采取特定的检测方法对这些不良站点进行检测分析，进而识别出异常域名，此种检测方式被称为异常域名检测，又被称为异常域名检测。

目前，相关技术中所提供的检测方案主要分为以下两种：

(1)基于人工配置规则进行检测，例如：某一时间流量异常，通过人工经验进行主观判断等；

然而，此种检测方式的缺陷在于：由于判定规则无法穷举，因此，只能在发现每一个异常域名后增加其对应的检测规则；而且，基于规则的检测方式的泛化能力较差，使其无法检测历史上未存在的异常；另外，基于规则的检测方式无法识别异常模式，只能依赖于人工经验来进行判断。因为存在上述缺陷，因此，基于规则的检测方式的检测效果欠佳，存在遗漏或者大量误判。

(2)基于流量数据提取部分特征(例如：访问者的互联网协议(IP)信息、查询信息等)来识别异常信息。

然而，此种检测方式的缺陷在于：仅能够利用域名的部分离线信息，而无法充分考虑其他更多的离线信息，例如：生存时间(TTL)信息、子域名信息、域名IP特征、请求特征以及域名字符串本身的特征，进而会导致漏判或者误判。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种异常域名的检测方法及装置，以至少解决相关技术中所提供的异常域名检测方案的检测手段单一，缺乏全面性，易导致异常域名检测的误判与漏判的技术问题。

根据本发明实施例的一个方面，提供了一种异常域名的检测方法，包括：

获取待检测域名集合中每个待检测域名的离线特征和在线特征，其中，离线特征是通过对每个待检测域名关联的历史访问数据进行分析后提取得到的，在线特征是根据每个待检测域名的自身属性确定的；将离线特征和在线特征进行融合组成每个待检测域名的特征向量；对组成后的全部特征向量进行聚类分析，从待检测域名集合中检测出异常域名。

可选地，离线特征包括以下至少之一：待检测域名下的子域名的生存时间TTL特征；待检测域名下的子域名的访问量特征；待检测域名下的子域名的自身属性特征；待检测域名对应的互联网协议IP地址特征。

可选地，在线特征包括以下至少之一：根据预设规则对每个待检测域名包含的部分或全部字符进行统计分析得到的特征；通过对预设数量的域名进行训练，获取一个或多个连续字符的排列规律或者每相邻多个字符之间的转移概率，并根据排列规律或转移概率对每个待检测域名包含的部分或全部字符进行统计分析得到的特征。

可选地，将离线特征和在线特征进行融合组成每个待检测域名的特征向量包括：对离线特征和在线特征进行融合处理，组成每个待检测域名的待处理特征向量，其中，待处理特征向量的向量维度由离线特征和在线特征所包含的总体特征数量确定的；对待处理特征向量进行归一化处理，得到每个待检测域名的特征向量。