[发明专利]一种基于自反馈学习的大规模恶意域名检测系统及方法

说明书

本发明公开了一种基于自反馈学习的大规模恶意域名检测系统及方法，涉及计算机网络安全技术领域。针对现有的检测技术在海量数据处理以及检测模型更新上的不足，设计并实现了适用于大规模数据的恶意域名实时检测系统，创新性提出抽取小数据集验证更新的做法，提升在线学习的效率。核心算法包括在海量实时域名检测中应用基于支持向量机SVM检测恶意域名的算法、基于自反馈学习的在线学习算法fSVM和自动标定算法。经理论论证与实验验证，本发明所提算法在面对新出现的恶意域名时能够及时响应，并且有着出色的运行效率。本发明还实现了检出域名的进一步分析，对域名相关的威胁情报感知有着启示作用。

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种基于自反馈学习的大规模恶意域名检测系统及方法。

背景技术

DDoS攻击是一种常见的由受控的僵尸网络发动的攻击。僵尸网络是一系列被感染系统的集合，攻击者需要使用DNS来解析控制服务器的地址，同时更有Fast Flux等技术隐藏攻击的来源，将多个IP地址的集合链接到某个特定的域名，并将新的地址从DNS记录中换入换出，回避检测。DNS通讯作为隐蔽通道也开始被攻击者们广泛应用。随机域名生成算法(DGA)是黑客为了逃避检测采用的域名生成算法。传统的检测方法使用黑名单库的办法来检测恶意域名，但面对这种新型隐蔽攻击技术显得束手无策。这样的恶意域名，生存时间短，当黑名单更新的时候很可能攻击已经结束或者域名已经不再可用，需要一种可以快速及时作出响应的检测系统来应对这种攻击。如果在企业中发现类似恶意域名解析请求，那么发起这些请求的设备很有可能是被感染了木马，企业安全团队可以轻易地根据IP或MAC地址定位，在杀毒软件更新特征库之前发现入侵。

被动DNS通过被动捕获内部DNS传输来重组DNS传输，从而收集数据。FlorianWeimer在2005年第17届FIRST会议上提出这项技术来缓解僵尸网络的传播。被动DNS整个流程捕捉到的是服务器到服务器之间的通信内容。这种方式具有两大重要作用：一是服务器到服务器的通信内容量明显更少，即只包含缓存内不存在的内容；二是服务器到服务器通信不会被轻易关联到某个特定存根解析器处，因此涉及的隐私内容也就相对较少。相较于URL分析，域名的流量相对较小，在实时监测时的开销将大大减小。

建立恶意域名识别能力，可以有效提升发现攻击行为的效果，第一时间迅速发现被木马感染的设备。同时，恶意域名识别，也是大数据安全的重要分析手段，是已建立起大数据安全平台的CISO们应首先考虑部署的分析引擎之一。

因此，本领域的技术人员致力于开发一种基于自反馈学习的大规模恶意域名检测系统及方法，以期针对现有的检测技术在海量数据处理以及检测模型更新上的不足，实现对于大规模数据的恶意域名实时检测并提高检测精度。

发明内容

有鉴于现有技术的上述缺陷，本发明所要解决的技术问题包括三方面：一是如何对海量数据进行高效的实时处理；二是当一个恶意域名刚刚出现，且只持续在几个小时或几天的时间内，市面上的黑名单还没有来得及将其加入到其中的时候，如何使检测模型将其发现并及时的做出响应；三是如何通过小代价的标定来实现检测率的提高和在线学习模型的更新。

为实现上述目的，本发明提供了一种基于自反馈学习的大规模恶意域名检测系统，包括用户端、云端检测平台和web端；

所述用户端被设置在企业的流量出口处，用于将企业DNS解析器中的DNS流量数据实时地传递给所述云端检测平台；

所述云端检测平台完成对所述DNS流量的特征提取，检测模型训练以及更新，对数据流的并行检测，以及将检测结果传递给所述Web端进行实时展示；

所述Web端被配置为用于展示所述检测成果，向用户提供基础的恶意域名检测数量，以及实时检测排名，同时提供以IP为线索查询恶意域名的数据接口，并通过对检出的所述恶意域名再次聚类，展示所述恶意域名的目的以及威胁。