[发明专利]网络检测、模型训练方法、装置、设备及存储介质

说明书

本发明实施例公开了一种网络检测方法、装置、设备及存储介质。其中，方法包括：获取目标服务器的目标访问流量数据对应的请求域名数据；在确定请求域名数据满足目标域名特征的情况下，获取请求域名数据对应的解析协议地址；在确定解析协议地址满足域名检测条件的情况下，获取解析协议地址对应的全部待检测域名；对全部待检测域名进行算法识别检测，获取全部待检测域名中的目标算法域名数量；在确定目标算法域名数量满足目标网络检测条件的情况下，获取全部待检测域名的源协议地址，将所述源协议地址确定为目标网络地址。本发明实施例可以实现对目标网络的快速、精准且全面的检测和识别。

技术领域

本发明实施例涉及计算机技术领域，尤其涉及网络检测、模型训练方法、装置、设备及存储介质。

背景技术

随着计算机网络的日益发展，网络规模越来越大，计算机和网络技术越来越复杂，导致出现各种网络攻击和网络异常的可能性增大，黑客攻击者利用非法网络对感染病毒的主机进行了大量的恶意活动。

DNS(Domain Name System，域名系统)自出现以来，一直被认为是最重要的互联网服务之一，几乎所有的网络服务都依托于DNS服务将域名解析为IP地址(InternetProtocol Address，网络协议地址)，因此，DNS经常被不法分子利用，发起各种网络攻击。例如，僵尸网络是攻击者常用的一种非法网络。僵尸网络大多使用Domain Flux技术，其核心算法是DGA(Domain Generation Algorithms，域名产生算法)。DGA算法是一种使用时间、字典和硬编码的常量生成域名的算法，其生成的域名具有随机性。图1是现有技术中僵尸网络的工作流程示意图，如图1所示，DGA算法使用的大致流程如下：首先，攻击者通过运行算法生成大量DGA域名，然后随机选择其中的少量域名进行注册，并将域名绑定到CC服务器(Command and Control Server，命令和控制服务器)；受害者的机器被植入恶意程序后，运行DGA算法生成域名，并检测域名是否可以连接，如果不能连接就尝试下一个域名，如果可以连接就选取该域名作为该恶意程序的控制端服务器域名，此时，由于主控端的资源有限，域名与IP地址在数量上的对应关系通常为多对一。

基于上述流程，基于Domain-flux技术的僵尸网络能够很好的逃避检测，极大的增加了检测和管理的难度，因此，当网络中出现大量僵尸主机时，怎样尽快的发现这些僵尸网络异常行为，产生相应的报警，防止僵尸网络的进一步传播和扩大，就显得尤为重要。

发明内容

本发明实施例提供网络检测、模型训练方法、装置、设备及存储介质，以实现对目标网络的快速、精准且全面的检测和识别。

第一方面，本发明实施例提供了一种网络检测方法，包括：

获取目标服务器的目标访问流量数据对应的请求域名数据；

在确定所述请求域名数据满足目标域名特征的情况下，获取所述请求域名数据对应的解析协议地址；

在确定所述解析协议地址满足域名检测条件的情况下，获取所述解析协议地址对应的全部待检测域名；

对所述全部待检测域名进行算法识别检测，获取所述全部待检测域名中的目标算法域名数量；

在确定所述目标算法域名数量满足目标网络检测条件的情况下，获取所述全部待检测域名的源协议地址，将所述源协议地址确定为目标网络地址。

第二方面，本发明实施例提供了一种模型训练方法，包括：

获取目标算法域名样本，其中，所述目标算法域名样本包括黑名单样本和白名单样本，所述黑名单样本包括目标算法域名对应的多维度字符序列特征；

根据所述目标算法域名样本对域名识别模型进行训练。

第三方面，本发明实施例还提供了一种网络检测装置，包括：