[发明专利]一种利用域名共现关系的恶意域名检测方法及系统

说明书

本发明提供了一种利用域名共现关系的恶意域名检测方法及系统。本发明利用域名请求之间的时间间隔，将DNS请求序列切割成域名共现序列，从而能够有效地将不属于同一网络活动触发的域名请求划分到不同的序列中；同时利用滑动窗口从域名共现序列中提取域名共现对：一方面，滑动窗口的引入成功地消除了由于共现序列长度过长而带来的计算复杂度增加的问题；另一方面，滑动窗口只保留个域名和其窗口内域名的共现关系，而忽略与更远位置的域名关系，能够有效地减少噪声共现关系。本发明能够通过分析域名团簇行为发现可疑的恶意域名团伙，感知恶意域名背后的关联关系，为更深层次研究恶意域名生态系统提供支撑。

技术领域

本发明涉及计算机网络安全领域的恶意域名检测领域，尤其是涉及一种利用域名共现关系的恶意域名检测方法及系统。

背景技术

域名系统(domain name system,DNS)是当今互联网中重要的基础核心服务之一，负责提供统一的域名地址空间映射服务，主要将易于人类记忆的域名翻译为易于机器识别的IP地址。然而，近年来DNS遭受各种非法网络活动的滥用。例如，僵尸网络利用域名生成算法(domain generate algorithm,DGA)批量生成大量域名，构建更健壮的命令与控制(command&control,C&C)信道，逃避安全机构的封杀和屏蔽。网络诈骗犯注册与流行域名(如alipay.com)相似的域名(如al1pay.com)，搭建钓鱼网站欺骗用户，从而窃取账户敏感信息、信用卡密码等。思科2016年度安全报告中指出高达91.3％的恶意软件均会从一定程度上滥用域名系统。在诸如网络钓鱼、恶意软件、垃圾邮件、勒索诈骗、僵尸网络等攻击手段背后，域名发挥着重要作用。这些网络攻击中使用的域名称为恶意域名。及时有效地检测恶意域名在异常检测、态势感知、追踪溯源中具有极其重要的研究意义和现实价值。

现有的恶意域名检测技术可以分为以下两类：

(1)基于手工特征和机器学习的技术。这类技术的主要思路是首先根据专家经验从域名相关数据中提取域名的特征(如域名的IP地址特征、域名的访问行为、域名的词法特征等)，然后利用机器学习分类算法和域名黑白名单数据构建恶意域名分类器，最后用分类器识别更多的未知恶意域名。主要代表工作有Antonakakis等人在2010年USENIX会议273-290页提出的Notos系统、Bilge等人在2014年TISSEC期刊16(4)卷1-14页提出了Exposure系统等；

(2)基于关联关系和图推断的技术。这类技术的主要思路是首先从域名相关数据中挖掘关联关系，其次构建域名彼此之间的关联关系图，然后利用图论或其他算法从全局上计算未知域名和图上恶意节点之间的关联程度，最后判断未知域名的属性。主要代表工作有Khalil等人在2016年AsiaCCS会议663-674页提出来的方法、Peng等人在2017年TrustCom会议225-232页上提出的基于DNS CNAME记录的方法等。

在与检测技术博弈的过程中，攻击者不断地升级攻击手段，导致现有的检测技术存在以下不足：

(1)手工设计的特征存在脆弱性，敌手在了解现有检测技术提取的特征后，不断地调整域名的使用习惯和词法特征，导致之前的特征无法有效地区分正常域名与恶意域名；

(2)图推断算法计算复杂度高，无法一次性处理大规模域名数据；

(3)缺乏域名团簇层面分析，在恶意域名团体发现上表现差。

所述的域名团伙是指由同一个攻击组织或团队控制的域名集合。

发明内容