[发明专利]一种基于DNS请求数据的C＆C域名检测方法及装置

权利要求书

1.一种基于DNS请求数据的CC域名检测方法，其特征在于，包括：

获取目标环境中的待检测DNS数据，所述待检测DNS数据包括：DNS请求发起时间、主机IP、目标IP、请求的域名；

提取所述待检测DNS数据中的域名文本特征，得到所述待检测DNS数据与域名文本特征的对应关系；

利用所述域名文本特征对所述待检测DNS数据进行分组，得到N个DNS数据组，其中N为正整数；

对N个所述DNS数据组进行周期性检测，得到周期性域名组；

对所述周期性域名组进行DGA域名分类识别，得到周期性域名组的组内域名的DGA概率均值和标准差；

获取所述周期性域名组的互联网信息特征，并利用所述DGA概率均值和所述标准差、所述互联网信息特征确定所述周期性域名组的组内域名是否为CC域名。

2.根据权利要求1所述的CC域名检测方法，其特征在于，

所述获取目标环境中的待检测DNS数据，所述待检测DNS数据包括：DNS请求发起时间、主机IP、目标IP、请求的域名，包括：

收集目标环境内各主机的DNS流量数据，按照DNS协议规范进行解析，得到DNS信息；

对所述DNS信息进行处理，得到第一数据集，所述第一数据集的数据字段包括：DNS请求发起时间、主机IP、目标IP、请求的域名；

对所述第一数据集利用白名单过滤筛选掉，得到待检测DNS数据，所述待检测DNS数据的数据字段包括：DNS请求发起时间、主机IP、目标IP、请求的域名。

3.根据权利要求1所述的CC域名检测方法，其特征在于，

所述域名文本特征包括：顶级域名、元音字母比例、域名3-gram频率均值、二级域名、连续数字的比例、域名1-gram频率标准差、域名长度、连续辅音字母的比例、域名2-gram频率标准差、含有“.”的个数、重复字母的比例、域名2-gram马尔可夫转移概率和、含有“-”的个数、域名信息熵、二级域名信息熵对应的区间索引、含有数字的个数、域名1-gram频率均值、二级域名2-gram频率排名对应的区间索引、数字比例、域名2-gram频率均值、域名高级发音域特征中的至少一个。

4.根据权利要求3所述的CC域名检测方法，其特征在于，

所述利用所述域名文本特征对所述待检测DNS数据进行分组，得到N个DNS数据组，其中N为正整数，包括：

在所述待检测DNS数据筛选具有二级域名以上的域名数据；

依次比较所述域名数据的主机IP地址、顶级域名、二级域名、域名长度、二级域名信息熵对应的区间索引、二级域名2-gram频率排名对应的区间索引、域名含有“.”的个数、域名含有特殊字符“-”的个数、域名含有数字的个数，将具有相同特征值的域名，分入同一组；对于只有二级的域名数据，依次根据其主机IP地址、顶级域名、域名长度、二级域名信息熵对应的区间索引、二级域名2-gram频率排名对应的区间索引、域名含有“.”的个数、域名含有特殊字符“-”的个数、域名含有数字的个数；

将域名文本特征具有相同特征值的组内域名数据分入同一组，得到N个DNS数据组。

5.根据权利要求1所述的CC域名检测方法，其特征在于，

所述对N个所述DNS数据组进行周期性检测，得到周期性域名组，包括：

对N个所述DNS数据组设置用于观察的时间窗口；

从每组数据的第一次请求开始，将时间窗口依次向后平移，每次平移一个单位的时间窗口；

标记时间窗口序号，统计每个时间窗口内的请求次数，得到时间窗口对应序号与请求次数的对应关系字典；

如果时间窗口对应的次数大于1，则利用DBSCAN算法，对字典索引进行聚类，并对聚类后的索引求均值，得到每段请求的时间段中心，以此计算相邻时间段中心的时间间隔，对每组数据，计算相邻请求的时间间隔；

按照最大时间间隔进行区间划分，统计时间间隔在每个区间内出现的次数，形成时间间隔及对应次数的集合；

获取次数最多的时间间隔区间，并添加时间抖动，得到新的区间；

计算时间间隔集合在该区间内的总数，以得到所述时间间隔集合所占比例；如果所述比例大于预设比例阈值，则确认所述DNS数据组为周期性域名组。