[发明专利]一种检测DGA域名的方法

权利要求书

1.一种检测DGA域名的方法，其特征在于，包括以下步骤：

建立DGA域名检测模型和DGA家族检测模型；

收集待检测DNS协议数据，提取待检测DNS协议数据中的待检测域名；

提取待检测域名中的特征；

将提取的特征规范化处理；

将规范化后的特征导入DGA域名检测模型和DGA家族检测模型，得到各已检测域名为DGA域名的概率和为DGA家族的概率；

继续检测各已检测域名，根据已检测域名为DGA域名的概率及特征的数量得到已检测域名中属于DGA域名的域名；继续检测各已检测域名，根据已检测域名为DGA家族的概率及每种DGA家族中包含已检测域名的数量得到已检测域名中属于DGA家族的域名；

方式如下：确定可疑主机，对所有主机中的DNS协议数据进行检测，确定可疑主机方式为：统计每个主机发送的无响应DNS查询数量，如果发送的无响应DNS查询数量大于20，则是可疑主机；否则是非可疑主机；

对于可疑主机和非可疑主机，根据已检测域名为DGA域名的概率及特征的数量得到已检测域名中属于DGA域名的域名，包括以下步骤：计算突变时间，过滤掉不存在突变时间的主机；根据突变时间内的无响应DNS查询数据进行层次聚类产生类簇，并过滤掉类簇数量小于15的类簇；计算符合条件的类簇的上下边界，获取突变时间内的有响应域名，提取有响应域名中特征有15个在类簇的上下边界内的有响应域名并展示；后置过滤，过滤得到无响应域名中DGA域名概率大于0.95的无响应域名并展示；

对于可疑主机和非可疑主机，根据已检测域名为DGA家族的概率及每种DGA家族中包含已检测域名的数量得到已检测域名中属于DGA家族的域名，包括以下步骤：根据得到的已检测域名为DGA家族的概率，只保留DGA家族的概率大于0.95的已检测域名，根据DGA家族种类对保留的已检测域名进行分组，统计每种DGA家族中已检测域名的数量，当同一种DGA家族中已检测域名数量大于阈值时，将对应DGA家族中已检测域名进行展示。

2.如权利要求1所述的检测DGA域名的方法，其特征在于，建立DGA域名检测模型和DGA家族检测模型包括以下步骤：

生成训练数据，包括正常域名和DGA域名数据；

对所述训练数据做特征工程处理，提取建模特征；

将建模特征规范化处理；

采用机器学习算法对规范化后的正常域名建模特征和DGA域名建模特征做模型训练，形成DGA域名检测模型和DGA家族检测模型。

3.如权利要求2所述的检测DGA域名的方法，其特征在于，生成训练数据的方式为：

收集用于DGA域名检测模型训练的域名数据，包括正常域名和DGA域名数据；

收集用于DGA家族检测模型训练的DGA域名数据。

4.如权利要求2所述的检测DGA域名的方法，其特征在于，对所述训练数据做特征工程处理，提取建模特征，方式如下：

提取训练数据中各域名的18个特征为建模特征，18个特征分别为：域名熵、域名长度、熵与长度的比值、辅音出现的频率、数字出现的频率、重复字母出现的频率、连续数字出现的频率、连续辅音出现的频率、顶级域是否是私人域、子域名unigram在样本中出现次数均值、子域名unigram在样本中出现次数方差、子域名bigram在样本中出现次数均值、子域名bigram在样本中出现次数方差、子域名trigram在样本中出现次数均值、子域名trigram在样本中出现次数方差、n-gram转移概率、顶级域在正负样本中出现次数的比值以及子域名trigram在正负样本中出现次数的比值。

5.如权利要求4所述的检测DGA域名的方法，其特征在于，提取待检测域名中的特征，包括以下步骤：

提取待检测域名中的特征和提取的建模特征相同。

6.如权利要求2所述的检测DGA域名的方法，其特征在于，将提取的特征规范化处理和将建模特征规范化处理的方式为：

将所有提取的特征和所有建模特征取值规范化到0～1之间。

7.如权利要求1所述的检测DGA域名的方法，其特征在于，在得到各已检测域名为DGA域名的概率和为DGA家族的概率之后，继续检测各已检测域名之前，还需要进行模型前置过滤，模型前置过滤的步骤包括：

去除掉DGA域名概率和DGA家族概率小于0.5的已检测域名。