[发明专利]一种利用域名共现关系的恶意域名检测方法及系统

权利要求书

1.一种利用域名共现关系的恶意域名检测方法，包括以下步骤：

(1)解析主机层面的DNS流量，获取请求信息，所述请求信息包括请求用户、请求域名和请求时间三元组信息；

(2)基于(1)中的三元组数据，按照序列切割时间阈值τ将请求用户的DNS请求序列进行切割，划分为域名共现序列；

(3)基于(2)中的域名共现序列，生成域名共现对；

(4)基于(3)中的域名共现对，在保留域名共现关系的前提下，将每一个域名映射为特征向量；

(5)将(4)中的特征向量输入恶意域名分类器以检测恶意域名；

其中所述恶意域名分类器通过下述步骤得到：

按照上述步骤(1)-(4)得到特征向量，利用已知属性的正常域名和恶意域名，结合机器学习分类算法进行训练，得到恶意域名分类器。

2.如权利要求1所述一种利用域名共现关系的恶意域名检测方法，其特征在于，步骤(1)中主机层面DNS流量未经NAT网络地址转换。

3.如权利要求1所述一种利用域名共现关系的恶意域名检测方法，其特征在于，步骤(1)还包括：按照请求用户和请求时间对三元组集合进行排序，形成域名请求数据集其中为用户u_i请求域名的集合，代表用户u_i在时间请求域名

4.如权利要求3所述一种利用域名共现关系的恶意域名检测方法，其特征在于，步骤(2)具体为：针对用户u_i的请求序列集合D_i，将相邻的两个域名请求之间的时间间隔大于切割阈值τ的两个域名请求切割开来，划分到不同的域名共现序列中，反之则划分到同一个域名共现序列中。

5.如权利要求3所述一种利用域名共现关系的恶意域名检测方法，其特征在于，步骤(3)具体为：

(3-1)设定滑动窗口w大小；

(3-2)针对每一个域名共现序列中的每一个域名d_j，确定其窗口范围为C(d_j)＝(d_j-w,d_j-w+1,…,d_j-1,d_j+1,d_j+2,…,d_j+w)，为d_j前w个域名和后w个域名；

(3-3)基于域名d_j窗口范围C(d_j)，进一步提取域名共现对{(d_j,d_j-w),…,(d_j,d_j-1),(d_j,d_j+1),…,(d_j,d_j+w)}；

(3-4)整合所有序列中提取的域名共现对，形成集合

6.如权利要求3所述一种利用域名共现关系的恶意域名检测方法，其特征在于，步骤(4)具体为：

(4-1)采用sigmoid函数衡量两个域名d_i和d_j的共现概率，即：

(4-2)应用负采样技术生成不具有共现关系的负样本集合每一个负样本为一个域名对(d_i,d_j)，但是d_i和d_j不具有共现关系；

(4-3)构建如下映射目标函数：

(4-4)采用优化算法不断迭代优化，最后得到每一个域名对应的特征向量。

7.如权利要求3所述一种利用域名共现关系的恶意域名检测方法，其特征在于，步骤(5)机器学习分类算法包括随机森林、随机森林、深度神经网络。

8.基于权利要求1-7任一所述方法检测恶意域名团伙的方法，包括如下步骤：

(1)结合每个域名所对应的特征向量，采用机器学习聚类算法进行聚类；

(2)整理聚类之后的域名团簇，形成恶意域名团伙。