[发明专利]挖掘潜在威胁域名的方法、系统和服务器

权利要求书

1.一种挖掘潜在威胁域名的方法，其特征在于，包括：

基于预先获取的第一特征集，获取第二特征集，其中，所述第一特征集为与潜在威胁域名相关的特征集，所述第二特征集为所述第一特征集的子集且所述第二特征集包括动态场景特征和静态场景特征；

通过对所述第二特征集中的特征进行关联计算获取疑似威胁域名集合；

其中，所述动态场景特征包括：通信特征和关联特征中的至少一种，其中，所述通信特征包括域名生成算法DGA属性，所述关联特征包括：域名返回码属性、域名IP地域属性和URL返回码属性中的至少一种；所述静态场景特征包括：行为特征和指纹特征中的至少一种，其中，所述行为特征包括：访问用户数、访问用户数离散度、域名访问的最多URL次数占比、单用户访问URL个数以及域名存活时长中的至少一种，所述指纹特征包括：终端操作系统属性和访问载体属性中的至少一种；其中，所述DGA属性具体指计算域名字符随机离散程度，即DGA属性为域名熵值与域名元音占比值的比值，其中熵值指字符随机性程度值，域名元音值指域名的元音字母个数占域名总长度比值。

2.根据权利要求1所述的挖掘方法，其特征在于，所述基于预先获取的第一特征集，获取第二特征集包括：对预先获取的所述第一特征集中的特征数据利用随机森林算法进行训练，以获取与潜在威胁域名相关的第二特征集。

3.根据权利要求1所述的挖掘方法，其特征在于，在所述基于预先获取的第一特征集，获取第二特征集之前，所述方法还包括：

获取运营商侧的数据；

基于获取的所述运营商侧的数据，得到与潜在威胁域名相关的第一特征集；

其中，所述第一特征集包括：域名IP个数、访问用户数、访问次数、URL个数、最大访问用户数、单用户平均URL条数、URL平均用户数、URL平均访问次数、用户数标准差、访问数标准差、URL访问数离散系数、访问用户数离散度、当天单个用户访问域名频率访问用户数、域名访问的最多URL次数占比、单用户访问URL个数、域名存活时长、终端操作系统属性、访问载体属性、域名返回码属性、IP地域属性、URL返回码属性、DGA属性中的至少二种。

4.根据权利要求1-3任一项所述的挖掘方法，其特征在于，所述通过对所述第二特征集中的特征进行关联分析获取疑似威胁域名集合包括：

确定潜在威胁域名特征集合的评估标准，所述评估标准包括支持度、置信度中的至少一种；

基于确定的所述评估标准和Apriori算法，对所述第二特征集中的特征进行关联分析，以确定出疑似威胁域名集合。

5.根据权利要求4所述的挖掘方法，其特征在于，所述基于确定的所述评估标准和Apriori算法，对所述第二特征集中的特征进行关联分析，以确定出疑似威胁域名集合包括：

对所述第二特征集中的特征的初始有效特征数据进行数据连接；对连接后得到的候选1项集按照预设评估标准进行剪枝处理，以得到频繁1项集；

对频繁1项集中的元素进行连接，获取候选2项集，对候选2项集中低于预设评估标准的元素进行剪枝处理，以得到频繁2项集；

针对频繁K项集，按照以上过程进行迭代，直到无法找到频繁K+1项集为止，将得到的频繁K项集确定为疑似威胁域名集合；其中，K为正整数，且K≥2。

6.根据权利要求1所述的挖掘方法，其特征在于，所述方法还包括：

获取监测数据源中的域名数据的动静态特征；

将获取的所述域名数据的动静态特征与获取的所述疑似威胁域名集合进行比较，以得到域名检测结果。