[发明专利]一种基于自反馈学习的大规模恶意域名检测系统及方法

权利要求书

1.一种基于自反馈学习的大规模恶意域名检测方法，其特征在于，包括在海量实时域名检测中应用基于支持向量机SVM检测恶意域名的算法、基于自反馈学习的在线学习算法fSVM和自动标定算法，实现实时检测并提高检测精度；还包括IDS传感器接口获取了一个IDS检测结果后的处理过程，所述处理过程包括将采集IDS检测结果的节点记作节点A，所述节点A的IDS传感器接口获取一个IDS的检测结果，将所述检测结果中属于外部网络范围的IP地址保存为ipaddr，所述检测结果所含的数据规范化后保存为data；然后计算发布所述检测结果所用的DHT关键值：k＝hash(ipaddr)，通过DHT通信模块执行put(k,data)操作发布采集到的所述检测结果，所述检测结果被路由到节点B并保存在所述节点B的本地数据库中；

所述基于自反馈学习的在线学习算法fSVM包括如下步骤：

步骤1：从客户端接受待检测的域名DNS日志，并按时间划分为若干时间片，记为时间片1至时间片n；

步骤2：根据系统初始的来自DomainBlackList网站的黑名单和来自alexa域名流量前1万名的白名单训练第一个支持向量机SVM检测模型，用于第一个时间片的检测；

步骤3：在前一个时间片检测过程中，计算每一个待检域名样本与所述支持向量机SVM检测模型分割超平面的距离dist(x_i)，根据所述距离dist(x_i)将样本分为两部分，距离较近的划为可疑小数据集S，进行二次标定，距离较远的根据机器学习的检测结果视为可信结果，标定的结果被存入本地数据库；

步骤4：在前一个时间片检测过程结束后，将所述可疑小数据集S中的正负样本标定结果添加到现有的所述黑名单和所述白名单中，重新训练所述支持向量机SVM检测模型；

步骤5：在下一个时间片的检测过程中，使用经过所述步骤4重新训练的所述支持向量机SVM检测模型对待测样本进行标定检测，重复所述步骤3的检测过程；

所述可疑小数据集S的样本二次标定包括如下步骤：

步骤3-1：如果域名落在检测超平面正侧，则上传至virustotal进行检测，若返回结果为恶意，则标记为恶意域名；

步骤3-2：如果所述步骤3-1中virustotal返回结果不为恶意，即positives值不大于1，那么获取域名的baidu和google搜索结果，统计results的个数，results结果数多的判定为良性域名；

步骤3-3：如果所述搜索结果中包含恶意关键字，则判定为恶意域名；

步骤3-4：对于在所述步骤3-1、所述步骤3-2、所述步骤3-3中均未能确定标定的域名，存入人工标定数据库，在web端展示给专家进行人工标定。

2.如权利要求1所述的基于自反馈学习的大规模恶意域名检测方法，其特征在于，所述基于支持向量机SVM检测恶意域名的算法，包括提取域名的词法特征和提取域名的网络特征。

3.如权利要求2所述的基于自反馈学习的大规模恶意域名检测方法，其特征在于，所述域名的词法特征包括八维特征：域名长度，域名含有的特殊字符数，域名的香农熵值，域名含有的数字数，域名中数字与字母的转换频率，域名含有的分隔符数，域名是否存在IP地址，域名是否符合读音规则。

4.如权利要求2所述的基于自反馈学习的大规模恶意域名检测方法，其特征在于，所述域名的网络特征包括根据dig命令获取的域名解析相关信息，以及根据whois命令获取的域名注册相关信息。

5.如权利要求4所述的基于自反馈学习的大规模恶意域名检测方法，其特征在于，所述根据dig命令获取的域名相关信息包括六维特征：域名解析出的IP地址个数，解析记录中A记录的TTL平均值，解析过程中名称服务器NS记录的个数，NS记录的平均TTL值，解析过程中AR记录个数，AR记录TTL的平均值。

6.如权利要求5所述的基于自反馈学习的大规模恶意域名检测方法，其特征在于，所述根据whois命令获取的域名相关信息包括三维特征：域名的注册时间，域名的过期时间，域名对应IP地址的国家分布。