[发明专利]恶意域名检测设备、系统和方法

权利要求书

1.一种恶意域名检测设备（100），其特征在于，所述设备（100）用于：

接收完全限定域名（Fully-Qualified Domain Name，FQDN）（101）和公共后缀索引（102）作为输入；

根据所述公共后缀索引（102）确定所述FQDN（101）中的公共后缀序列（103）和域字符序列（104）；

对所述公共后缀序列（103）进行处理，以得到指示所述FQDN（101）是否恶意的第一结果（105）；

对所述域字符序列（104）进行处理，以得到指示所述FQDN（101）是否恶意的第二结果（106）；以及

对所述第一结果（105）和所述第二结果（106）进行合并，并根据所述合并的结果（107）判断所述FQDN（101）是否恶意。

2.根据权利要求1所述的设备（100），其特征在于，包括：

第一长短期记忆（Long Short-Term Memory，LSTM）网络（202），用于对所述公共后缀序列（103）进行处理，和/或

第二LSTM网络（203），用于对所述域字符序列（104）进行处理。

3.根据权利要求2所述的设备（100），其特征在于，

所述第一LSTM网络（202）和/或所述第二LSTM网络（203）为递归神经网络。

4.根据权利要求1所述的设备（100），其特征在于，当用于对所述公共后缀序列（103）进行处理时，所述设备（100）用于：

根据确定的先前事件计算所述公共后缀序列（103）和所述域字符序列（104）用于恶意FQDN（101）的概率。

5.根据权利要求2所述的设备（100），其特征在于，当用于对所述公共后缀序列（103）进行处理时，所述设备（100）用于：

根据确定的先前事件计算所述公共后缀序列（103）和所述域字符序列（104）用于恶意FQDN（101）的概率。

6.根据权利要求3所述的设备（100），其特征在于，当用于对所述公共后缀序列（103）进行处理时，所述设备（100）用于：

根据确定的先前事件计算所述公共后缀序列（103）和所述域字符序列（104）用于恶意FQDN（101）的概率。

7.根据权利要求4-6中任一项所述的设备（100），其特征在于，还用于：

计算所述公共后缀序列（103）被域名生成算法使用的概率。

8.根据权利要求4-6中任一项所述的设备（100），其特征在于，用于：

接收用于学习所述确定的先前事件的训练集作为输入。

9.根据权利要求7所述的设备（100），其特征在于，用于：

接收用于学习所述确定的先前事件的训练集作为输入。

10.根据权利要求1至6中任一项所述的设备（100），其特征在于，当用于对所述域字符序列（104）进行处理时，所述设备（100）用于：

根据所述域字符序列（104）中的一个或多个下一个字符的似然计算所述域字符序列（104）用于恶意FQDN（101）的概率。

11.根据权利要求1至6中任一项所述的设备（100），其特征在于，当用于判断所述FQDN（101）是否恶意时，所述设备（100）用于：

对所述合并的结果（107）进行分类。

12.根据权利要求7所述的设备（100），其特征在于，当用于判断所述FQDN（101）是否恶意时，所述设备（100）用于：

对所述合并的结果（107）进行分类。