[发明专利]一种可疑域名检测方法及装置

说明书

一种可疑域名检测方法及装置，涉及网络安全领域，本申请实施例提供的方法能够利用僵尸木马系统检测日志和DNS日志对可疑域名的IP地址进行检测。该方法包括：根据僵尸木马系统检测日志获取活跃僵尸木马控制端IP地址；根据DNS日志获取检测期内IP地址与域名的对应关系；获取对应域名数量大于第二阈值的IP地址；提取IP地址对应的每个域名中的关键域名字符串，计算字符在预定范围中的出现频次，预定范围包括IP地址对应的所有域名的关键域名字符串；利用聚类算法对所述IP地址进行聚类；根据各个点簇中所包括的活跃僵木点的数量，确定可疑点簇；将可疑点簇中包括的IP地址确定为可疑域名对应的IP地址。本申请应用于检测可疑域名。

技术领域

本申请涉及网络安全领域，尤其涉及一种可疑域名检测方法及装置。

背景技术

随着社会信息化的发展，互联网已经深入到社会生活的各个方面。随之而来的，网络中的僵尸网络、恶意软件等问题对网络安全有着很大的威胁。同时，僵尸网络、恶意软件等安全威胁的控制者经常采用DGA(Domain generate algorithm，域名生成算法)生成多个域名，再通过不断变换其域名和域名解析的IP地址的方式逃避防御者的监控和封堵，这使得网络安全防御的难度进一步加大。

目前，现有技术中主要采用基于分类的算法，利用已知正常域名样本集和已知恶意域名样本集合进行训练、得到域名分类规则。确定是否对该待确定域名的访问进行监控和封堵。

基于上述内容，本申请发明人发现，现有技术中利用对现有的正常域名和异常域名各自的规则，对域名进行识别时，经常会由于难以找到全面、准确的正常域名样本和异常域名样本集合进行训练，即正常样本域名中可能还有未发现的恶意域名样本造成，造成正常域名、恶意域名集合样本中存在错误的分类，导致无法准确识别出异常域名。

发明内容

本申请提供一种可疑域名检测方法及装置，能够根据可疑IP地址所对应的利用域名生成算法生成的域名，与正常IP地址对应的正常域名在字符的词频分布上的不同，进而根据每个IP地址对应的域名的词频分布，对IP地址进行聚类。再通过判断点簇中已知僵木IP地址的数量，进而确定该点簇中的IP地址是否为可疑IP地址。

为达到上述目的，本申请的实施例采用如下技术方案：

第一方面，本申请实施例提供一种可疑域名检测方法，包括：根据僵尸木马系统检测日志获取僵木IP地址，僵木IP地址为在检测期内被作为僵尸网络通信中控制端地址的次数大于第一阈值的IP地址。根据DNS日志获取检测期内IP地址与域名的对应关系；根据IP地址与域名的对应关系，获取对应的域名数量大于第二阈值的IP地址；提取IP地址对应的每个域名中的关键域名字符串，计算字符在预定范围中的出现频次，预定范围包括IP地址对应的所有域名的关键域名字符串；根据出现频次，利用聚类算法对IP地址进行聚类，得到N个点簇。根据各个点簇中所包括的活跃僵木点的数量，确定可疑点簇，其中活跃僵木点指在点簇中表示活跃僵木IP地址的点。将可疑点簇中包括的IP地址确定为可疑域名对应的IP地址。

可选的，提取IP地址对应的每个域名中的关键域名字符串，包括：提取IP地址对应的每个域名中以“.”分隔所得的各个域名段中长度最长的域名字符串，或者，提取IP地址对应的每个域名中去掉域名尾缀后的域名字符串。

可选的，根据出现频次，利用K-Means聚类算法对IP地址进行聚类，得到N个点簇，具体包括：对每个IP地址对应的字符的出现频次进行归一化处理。根据归一化处理后的字符的出现频次，利用聚类算法将IP地址分为M个点簇。判断M个点簇是否满足预定条件，若满足预定条件，则M个点簇即为N个点簇。若不满足预定条件，则利用聚类算法将IP地址分为M+1个点簇，再次判断M+1个点簇是否满足预定条件。预定条件包括：点簇中，所有点的误差的总和小于第一误差阈值，并且每个点簇内所有点的平均误差小于第二误差阈值，并且点簇中的活跃僵木点的误差均小于第三误差阈值；其中，点的误差指点与该点所属点簇中心的欧式距离。