[发明专利]一种DGA域名的检测方法及装置

权利要求书

1.一种DGA域名的检测方法，其特征在于，包括：

对域名进行聚类，以获取若干个包含有同类特征域名的域名集合；

对所述域名集合中的域名进行域名生成算法DGA检测；

若判断获知检测结果为存在DGA域名，则确定所述DGA域名对应的域名请求发送方为被植入恶意代码的终端；

其中，所述获取若干个包含有同类特征域名的域名集合，包括：

获取各域名请求发送方的IP地址，根据所述IP地址聚类得到每一IP地址对应的第一备选域名集合；

在所述第一备选域名集合中获取一级域名长度，根据所述一级域名长度聚类得到每一一级域名长度对应的第二备选域名集合；

在所述第二备选域名集合中获取各相邻域名请求对应的各发送时刻，根据所述各发送时刻，获取所述域名集合；

其中，所述根据所述各发送时刻，获取所述域名集合，包括：

若判断获知所述各发送时刻之间的时间间隔大于预设时间间隔，则将大于所述预设时间间隔的时间间隔对应的两个域名请求划分为两个集合，并重复执行所述若判断获知所述各发送时刻之间的时间间隔大于预设时间间隔，则将大于所述预设时间间隔的时间间隔对应的两个域名请求划分为两个集合，以获取根据所有时间间隔聚类得到的所述域名集合；

其中，所述对所述域名集合中的域名进行域名生成算法DGA检测，包括：

读取一个目标域名集合；若判断获知所述目标域名集合中包含的域名数量大于等于数量阈值，则根据所述域名数量，将所述目标域名集合划分为两个子集合；

分别解析每个子集合中的一级域名，以获取每个子集合对应的所有字符；

计算所述所有字符中的每个字符的字符分布比率，并构建包含有所有字符的字符分布比率的向量；其中，所述字符分布比率为每个字符在对应子集合中所有一级域名中出现次数与所有字符在所述对应子集合中所有一级域名中出现总次数的比值；

根据所述每个子集合分别对应的所述向量，确定所述DGA检测的检测结果；

其中，所述根据所述每个子集合分别对应的所述向量，确定所述DGA检测的检测结果，包括：

计算所述每个子集合分别对应的所述向量之间的欧氏距离；

若判断获知所述欧氏距离小于距离阈值，则直接确定所述检测结果为存在所述DGA域名。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若判断获知所述欧氏距离大于等于所述距离阈值，则继续读取下一个目标域名集合，并重复执行，直到遍历完所述域名集合中的所有目标域名集合，若判断获知所有目标域名集合的检测结果都为不存在所述DGA域名，则确定所述DGA检测的检测结果为不存在所述DGA域名。

3.根据权利要求1所述的方法，其特征在于，所述根据所述域名数量，将所述目标域名集合划分为两个子集合，包括：

若判断获知所述域名数量为偶数，则将所述目标域名集合划分为域名数量相等的两个子集合；

若判断获知所述域名数量为奇数，则将所述目标域名集合划分为其中一个子集合的域名数量比另一个子集合的域名数量多一个。