[发明专利]远控回连行为的识别方法、装置及电子设备

权利要求书

1.一种远控回连行为的识别方法，其特征在于，包括：

获取目标网络的域名系统的流量数据；所述流量数据包括所述目标网络所包含的客户端的第一域名和第一域名请求次数及服务端的第二域名和第二域名请求次数；

基于所述流量数据筛选出可能存在所述远控回连行为的可疑客户端和可疑服务端；

基于机器学习算法识别出所述可疑客户端和可疑服务端中包含的目标客户端和目标服务端；其中，所述目标客户端为存在所述远控回连行为的客户端，所述目标服务端为存在所述远控回连行为的服务端；

其中，所述基于所述流量数据筛选出可能存在所述远控回连行为的可疑客户端和可疑服务端的步骤，包括：

基于所述第一域名请求次数和所述第二域名请求次数构建所述客户端和所述服务端的域名向量；

通过相似度计算公式计算所述客户端与所述服务端两两之间所述域名向量的余弦相似度sim；其中，所述相似度计算公式为：sim＝a*b/|a||b|，a为所述客户端的域名向量，b为所述服务端的域名向量；

从所述余弦相似度中筛选出满足预设阈值的第一余弦相似度，并将所述第一余弦相似度对应的客户端作为可疑客户端，将所述第一余弦相似度对应的服务端作为可疑服务端；

其中，所述基于机器学习算法识别出所述可疑客户端和可疑服务端中包含的目标客户端和目标服务端的步骤，包括：

基于所述可疑客户端和所述可疑服务端构建网络图；

基于机器学习算法确定所述网络图中存在所述远控回连行为的目标客户端和目标服务端。

2.根据权利要求1所述的方法，其特征在于，所述基于所述可疑客户端和所述可疑服务端构建网络图的步骤，包括：

将所述可疑客户端和所述可疑服务端作为网络节点；

根据所述第一域名和所述第一域名请求次数及所述第二域名和所述第二域名请求次数，将所述可疑客户端和所述可疑服务端之间的请求访问关系作为所述网络节点之间的网络线段，基于所述网络节点和所述网络线段获得网络图。

3.根据权利要求2所述的方法，其特征在于，所述基于机器学习算法确定所述网络图中存在所述远控回连行为的目标客户端和目标服务端的步骤，包括：

基于louvain算法将所述网络图中的所述可疑客户端和所述可疑服务端划分成相互不重叠的多个社区；

基于图算法识别出存在请求访问关系且位于不同社区的可疑客户端和可疑服务器，将识别出的所述可疑客户端和所述可疑服务器确认为目标客户端和目标服务器。

4.一种远控回连行为的识别装置，其特征在于，包括：

流量数据模块，用于获取目标网络的域名系统的流量数据；所述流量数据包括所述目标网络所包含的客户端的第一域名和第一域名请求次数及服务端的第二域名和第二域名请求次数；

筛选模块，用于基于所述流量数据筛选出可能存在所述远控回连行为的可疑客户端和可疑服务端；

识别模块，用于基于机器学习算法识别出所述可疑客户端和可疑服务端中包含的目标客户端和目标服务端；其中，所述目标客户端为存在所述远控回连行为的客户端，所述目标服务端为存在所述远控回连行为的服务端；

其中，所述筛选模块，进一步用于基于所述第一域名请求次数和所述第二域名请求次数构建所述客户端和所述服务端的域名向量；通过相似度计算公式计算所述客户端与所述服务端两两之间所述域名向量的余弦相似度sim；其中，所述相似度计算公式为：sim＝a*b/|a||b|，a为所述客户端的域名向量，b为所述服务端的域名向量；从所述余弦相似度中筛选出满足预设阈值的第一余弦相似度，并将所述第一余弦相似度对应的客户端作为可疑客户端，将所述第一余弦相似度对应的服务端作为可疑服务端；

其中，所述识别模块，进一步用于基于所述可疑客户端和所述可疑服务端构建网络图；基于机器学习算法确定所述网络图中存在所述远控回连行为的目标客户端和目标服务端。

5.一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述权利要求1至3任一项所述的方法的步骤。

6.一种计算机可读介质，其特征在于，所述计算机可读介质存储有计算机可执行指令，所述计算机可执行指令在被处理器调用和执行时，所述计算机可执行指令促使所述处理器实现权利要求1至3任一项所述的方法。