[发明专利]一种DGA域名检测分类方法及装置

权利要求书

1.一种DGA域名检测分类方法，其特征在于，包括：

获取待分类的DGA域名；

采用混合粒度的域名分割方法，将所述DGA域名分割成字符粒度或单词粒度的元素；

为每个所述元素进行哈希计算，得到对应的整数编码；

将所述整数编码输入基于多层空洞因果卷积的DGA域名检测分类网络中，得到分类结果。

2.根据权利要求1所述的一种DGA域名检测分类方法，其特征在于，采用混合粒度的域名分割方法，将所述DGA域名分割成字符粒度或单词粒度的元素，包括：

根据分隔符“.”符号，将所述DGA域名分割为多个域名标签；

从语料库的一元模型数据中选取出现次数高于设定阈值次数的字符串组成单词词频表；

采用基于词频统计的单词分割方法，根据所述单词词频表，将每个所述域名标签分割为多个单词粒度的元素；

将所述单词粒度元素中不包含在所述单词词频表中的元素分割成字符粒度的元素。

3.根据权利要求2所述的一种DGA域名检测分类方法，其特征在于，所述语料库选自Google Web 1T 5-Grams、British National Corpus、The Corpus of ContemporaryAmerican English的一种。

4.根据权利要求1所述的一种DGA域名检测分类方法，其特征在于，为每个所述元素进行哈希计算，得到对应的整数编码，包括：

为每个所述元素进行哈希计算，得到对应的整数编码；

在所述整数编码的末尾填充若干个整数0，使该整数编码达到某一预定长度。

5.根据权利要求1所述的一种DGA域名检测分类方法，其特征在于，所述基于多层空洞因果卷积的DGA域名检测分类网络包括依次相连的嵌入层、空洞因果卷积层、层归一化层以及全连接层；其中

所述嵌入层用于将所述整数编码映射为词向量表示形式；

所述空洞因果卷积层用于从所述词向量表示形式中提取多尺度的特征；

所述层归一化层用于将所述特征调整为符合正态分布的特征；

所述全连接层用于根据符合正态分布的特征计算分类结果。

6.根据权利要求1所述的一种DGA域名检测分类方法，其特征在于，当基于多层空洞因果卷积的DGA域名检测分类网络用于二分类时，分类结果为DGA域名或非DGA域名；当基于多层空洞因果卷积的DGA域名检测分类网络用于多分类时，分类结果为某一具体DGA域名家族的标签。

7.一种DGA域名检测分类装置，其特征在于，包括：

获取模块，用于获取待分类的DGA域名；

分割模块，用于采用混合粒度的域名分割方法，将所述DGA域名分割成字符粒度或单词粒度的元素；

计算模块，用于为每个所述元素进行哈希计算，得到对应的整数编码；

分类模块，用于将所述整数编码输入基于多层空洞因果卷积的DGA域名检测分类网络中，得到分类结果。

8.根据权利要求7所述的一种DGA域名检测分类装置，其特征在于，所述分割模块包括：

第一分割子模块，用于根据分隔符“.”符号，将所述DGA域名分割为多个域名标签；

选取子模块，用于从语料库的一元模型数据中选取出现次数高于设定阈值次数的字符串组成单词词频表；

第二分割子模块，用于采用基于词频统计的单词分割方法，根据所述单词词频表，将每个所述域名标签分割为多个单词粒度的元素；

第三分割子模块，用于将所述单词粒度元素中不包含在所述单词词频表中的元素分割成字符粒度的元素。

9.根据权利要求7所述的一种DGA域名检测分类装置，其特征在于，所述计算模块包括：

第一计算子模块，用于为每个所述元素进行哈希计算，得到对应的整数编码；

填充子模块，用于在所述整数编码的末尾填充若干个整数0，使该整数编码达到某一预定长度。

10.根据权利要求7所述的一种DGA域名检测分类装置，其特征在于，所述基于多层空洞因果卷积的DGA域名检测分类网络包括依次相连的嵌入层、空洞因果卷积层、层归一化层以及全连接层；其中

所述嵌入层用于将所述整数编码映射为词向量表示形式；

所述空洞因果卷积层用于从所述词向量表示形式中提取多尺度的特征；

所述层归一化层用于将所述特征调整为符合正态分布的特征；

所述全连接层用于根据符合正态分布的特征计算分类结果。