[发明专利]一种用于检测钓鱼网址的方法

说明书

本发明提供一种用于检测钓鱼网址的方法，应用于网址URL字符串，用于判断所述URL字符串指示的网址是否为钓鱼网址，包括：建立基于卷积神经网络与多头自注意网络二者并行结合的深度学习网络钓鱼网址检测分类器模型；使用预先准备的均衡的URL样本集对所述分类器模型进行训练；使用训练后的所述分类器模型对未知性质的URL字符串进行判别，判断其是否为钓鱼网址。由于卷积神经网络和多头自注意网络可以分别学习URL字符串特征及特征权重，并且二者可以并行进行，使得本分类器模型能够有效地节省分析处理时间，并且判断准确性较高，具有应用于互联网大规模网络实时检测的前景。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种用于检测钓鱼网址的方法。

背景技术

钓鱼网站攻击属于社会工程攻击的一种，是指攻击者假冒合法网站的网址和内容，并通过电子邮件、二维码、即时通讯工具、域名劫持等方式和手段诱导用户访问，从而导致用户隐私泄露、身份盗窃和财产损失的一种恶意攻击行为。

近年来，伴随互联网特别是移动互联网的飞速发展，网络钓鱼攻击现象也日益严峻。据国家计算机网络应急技术处理协调中心(CNCERT)的《2019年上半年我国互联网网络安全态势》报告显示，2019年上半年，CNCERT自主监测发现约4.6万个针对我国境内网站的仿冒页面，比2018年底增长了8.2％。而在国际范围内，国际反钓鱼工作组(APWG)2019年第三季度的钓鱼活动趋势报告表明，2019年1月至9月，全球钓鱼网站数量不断增长，创2016年监测以来的新高，且9月比1月增长近100％，达到86276个。与此同时，RSA公司的网上诈骗报告显示，2018年网络钓鱼攻击已经让全球组织损失约46亿美元，而这个数字仍然在进一步增长。

以中国工商银行网址(http://www.icbc.com)为例，攻击者首先克隆工商银行一样的网站内容，并将克隆网站的网址设为http://www.1cbc.com，同时借助于其他欺骗技巧，如DNS劫持、URL劫持、二维码、网络诱骗等诱导用户访问。由于不管从网站内容和网址形式均与真实网址高度相似，使得受害者误认为是真实网站并进行登录，攻击者就可以获取受害者的用户名、登录密码、银行卡号甚至支付密码等信息，并进一步利用这些信息可以进行非法操作(如转账等操作)。近年来随着移动网络及二维码的兴起，基于二维码的新兴网络钓鱼现象更加无法察觉，进一步加剧了钓鱼网站的危害。

目前钓鱼网站检测机制方法主要可以归为五类：基于黑白名单的方案、基于特征启发式的方案、基于图形特征的方案、基于机器学习的方案、以及基于深度学习的方案。黑白名单方案主要通过维护非法URL、IP地址或者关键字列表，从而判断当前链接地址的合法性，因此无法对许多随机生成或者没有被列入黑名单的钓鱼网站进行检测，也即无法阻止零日钓鱼攻击(0day phishing attack)；基于特征启发式的方案则基于钓鱼网站存在的钓鱼特征，启发式进行多重特征验证，从而判别网站的真伪，但此方案或多或少地存在假阳性，并且判断精度不足；基于图形特征的检测方法通过绘制钓鱼网址与受害者网址的链接关系图，从而判断当前网站是否是钓鱼网站，该方案的计算需要大量的时间和内存，因此计算时延较为严重；基于机器学习方法采用成熟的机器学习模型对钓鱼网站URL或网站内容进行分析，其最大的优势在于可以识别零日攻击，并且经过训练的分类器识别效率高，但最大的缺点在于必须由研究人员手动指定样本的学习特征，因此判断的精度有依赖于专家的知识，并且于不同的机器学习方法精度也不一样，合理的分类器设计也是限制了判别率提高的因素之一；基于深度学习模型的检测方法可以自主地从样本中提取特征，因此可以更充分地进行分类训练并得出更准确的分类结果。然而，深度学习模型的设计及样本数据集是否均衡，是影响深度学习方案取得高精度结果的重要因素。

现有技术中缺乏一种兼顾效率与精度的检测方法用于检测钓鱼网址。

以上背景技术内容的公开仅用于辅助理解本发明的构思及技术方案，其并不必然属于本专利申请的现有技术，在没有明确的证据表明上述内容在本专利申请的申请日已经公开的情况下，上述背景技术不应当用于评价本申请的新颖性和创造性。

发明内容