[发明专利]一种异常域名检测方法、系统及相关组件

权利要求书

1.一种异常域名检测方法，其特征在于，包括：

获取网络流量数据，并对所述网络流量数据进行解析，得到解析数据；

将所述解析数据按照域名分组，得到多个解析数据组；

分析每个所述解析数据组中所述域名的访问动作信息，根据所述访问动作信息判断所述域名是否满足访问条件集中的多条访问条件，以确定所述域名对应每条所述访问条件的访问告警值；

分析每个所述解析数据组中所述域名的注册信息，根据所述注册信息判断所述域名是否满足注册条件集中的多条注册条件，以确定所述域名对应每条所述注册条件的注册告警值；

对每个所述域名的所有所述访问告警值和所有所述注册告警值进行加权求和，得到所述域名的异常告警值；

根据每个所述域名的所述异常告警值，确定所述域名的异常等级。

2.根据权利要求1所述异常域名检测方法，其特征在于，所述访问条件集中的多条所述访问条件包括：

所述域名的访问周期不固定，

和/或，所述域名在预设工作时间段内访问。

3.根据权利要求2所述异常域名检测方法，其特征在于，所述访问条件集中的多条所述访问条件还包括：

所述域名的总流量未超出预设流量，

和/或，所述域名的流量密度未超出预设流量密度，

和/或，所述域名的访问报文为预设格式，

和/或，所述域名的访问报文的大小为预设数值。

4.根据权利要求1所述异常域名检测方法，其特征在于，所述注册条件集中的所述注册条件包括：

所述域名位于域名白名单中。

5.根据权利要求4所述异常域名检测方法，其特征在于，所述注册条件集中的多条所述注册条件还包括：

所述域名的注册时间超出预设注册时间段，

和/或，所述域名的注册地址超出预设注册区域，

和/或，所述域名的历史捆绑记录中无恶意域名。

6.根据权利要求1至5任一项所述异常域名检测方法，其特征在于，所述对所述网络流量数据进行解析，得到解析数据的过程，包括：

对所述网络流量数据进行HTTP协议、和/或HTTPS协议、和/或TCP/IP协议解析，得到解析数据。

7.根据权利要求6所述异常域名检测方法，其特征在于，所述获取网络流量数据的过程，包括：

通过对流量镜像处理，获取网络流量数据。

8.一种异常域名检测系统，其特征在于，包括：

获取模块，用于获取网络流量数据，并对所述网络流量数据进行解析，得到解析数据；

分组模块，用于将所述解析数据按照域名分组，得到多个解析数据组；

第一分析模块，用于分析每个所述解析数据组中所述域名的访问动作信息，根据所述访问动作信息判断所述域名是否满足访问条件集中的多条访问条件，以确定所述域名对应每条所述访问条件的访问告警值；

第二分析模块，用于分析每个所述解析数据组中所述域名的注册信息，根据所述注册信息判断所述域名是否满足注册条件集中的多条注册条件，以确定所述域名对应每条所述注册条件的注册告警值；

告警分析模块，用于对每个所述域名的所有所述访问告警值和所有所述注册告警值进行加权求和，得到所述域名的异常告警值，并根据每个所述域名的所述异常告警值，确定所述域名的异常等级。

9.一种异常域名检测装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述异常域名检测方法的步骤。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述异常域名检测方法的步骤。