[发明专利]一种域名检测方法及系统

权利要求书

1.一种域名检测方法，其特征在于，包括：

获取待检测的域名；

根据所述待检测的域名确定在检测时间内所述待检测的域名在不同时刻的响应记录；所述响应记录包括域名名称、IP地址和查询时间；

根据所述待检测的域名在不同时刻的响应记录确定所述待检测的域名的域名特征；所述域名特征包括域名分数和域名长度；

根据所述待检测的域名的域名特征，采用分类模型，确定所述待检测的域名的域名类别；所述域名类别包括恶意域名和正常域名；所述分类模型以域名特征为输入，以域名类别为输出；

所述根据所述待检测的域名在不同时刻的响应记录确定所述待检测的域名的域名特征，具体包括：

根据所述查询时间对所述待检测的域名在不同时刻的响应记录进行排序；

对排序后的响应记录进行编号；

计算相邻编号的IP地址的相似度；

根据所述相似度确定所述域名分数；

所述根据所述相似度确定所述域名分数，具体包括：

利用公式确定所述域名分数；S(d)是域名分数，i和j均为相邻的编号，P_i^d,分别是第i和第j个时间窗口对应的响应记录返回的IP地址集合，L为响应记录的个数，为i和j的IP地址的相似度，

2.根据权利要求1所述的一种域名检测方法，其特征在于，所述检测时间为10天。

3.一种域名检测系统，其特征在于，包括：

待检测的域名获取模块，用于获取待检测的域名；

响应记录确定模块，用于根据所述待检测的域名确定在检测时间内所述待检测的域名在不同时刻的响应记录；所述响应记录包括域名名称、IP地址和查询时间；

域名特征确定模块，用于根据所述待检测的域名在不同时刻的响应记录确定所述待检测的域名的域名特征；所述域名特征包括域名分数和域名长度；

域名类别确定模块，用于根据所述待检测的域名的域名特征，采用分类模型，确定所述待检测的域名的域名类别；所述域名类别包括恶意域名和正常域名；所述分类模型以域名特征为输入，以域名类别为输出；

所述域名特征确定模块具体包括：

排序单元，用于根据所述查询时间对所述待检测的域名在不同时刻的响应记录进行排序；

编号单元，用于对排序后的响应记录进行编号；

相似度计算单元，用于计算相邻编号的IP地址的相似度；

域名分数确定单元，用于根据所述相似度确定所述域名分数；

所述域名分数确定单元具体包括：

域名分数确定子单元，用于利用公式确定所述域名分数；S(d)是域名分数，i和j均为相邻的编号，P_i^d,分别是第i和第j个时间窗口对应的响应记录返回的IP地址集合，L为响应记录的个数，为i和j的IP地址的相似度，

4.根据权利要求3所述的一种域名检测系统，其特征在于，所述检测时间为10天。