[发明专利]一种异常域名检测方法、系统及相关组件

说明书

本申请公开了一种异常域名检测方法、系统及相关组件，该方法包括：获取网络流量数据，并对网络流量数据进行解析，得到解析数据；将解析数据按照域名分组，得到多个解析数据组；分析每个解析数据组中访问动作信息，判断域名是否满足访问条件集中的多条访问条件，以确定访问告警值；分析每个解析数据组中注册信息，判断域名是否满足注册条件集中的多条注册条件，以确定注册告警值；对每个域名的所有访问告警值和所有注册告警值进行加权求和，得到域名的异常告警值；根据每个域名的异常告警值，确定域名的异常等级。本申请从多个不同方向分析确定了域名的异常告警值，以判断该域名的异常等级，这种判断更为可靠全面，可以更为准确地检测出异常域名。

技术领域

本发明涉及网络安全监测领域，特别涉及一种异常域名检测方法、系统及相关组件。

背景技术

随着互联网的不断发展，互联网安全也受到越来越高的关注，非法网站的监测是防御网络攻击的核心之一，及时发现非法网站并对其进行管控，能够降低非法网站的出现频率，从而降低其所造成的威胁。

传统的非法网站的监测，通常以域名判断为主，通过提取网站的WHOIS信息，解析其中是否存在恶意域名，这种手段只能确定部分异常域名，判断条件单一，很容易漏掉WHOIS信息未判定的异常域名，安全性尚不够高。

因此，如何提供一种解决上述技术问题的方案是目前本领域技术人员需要解决的问题。

发明内容

有鉴于此，本发明的目的在于提供一种可靠全面的异常域名检测方法、系统及相关组件。其具体方案如下：

一种异常域名检测方法，包括：

获取网络流量数据，并对所述网络流量数据进行解析，得到解析数据；

将所述解析数据按照域名分组，得到多个解析数据组；

分析每个所述解析数据组中所述域名的访问动作信息，根据所述访问动作信息判断所述域名是否满足访问条件集中的多条访问条件，以确定所述域名对应每条所述访问条件的访问告警值；

分析每个所述解析数据组中所述域名的注册信息，根据所述注册信息判断所述域名是否满足注册条件集中的多条注册条件，以确定所述域名对应每条所述注册条件的注册告警值；

对每个所述域名的所有所述访问告警值和所有所述注册告警值进行加权求和，得到所述域名的异常告警值；

根据每个所述域名的所述异常告警值，确定所述域名的异常等级。

优选的，所述访问条件集中的多条所述访问条件包括：

所述域名的访问周期不固定，

和/或，所述域名在预设工作时间段内访问。

优选的，所述访问条件集中的多条所述访问条件还包括：

所述域名的总流量未超出预设流量，

和/或，所述域名的流量密度未超出预设流量密度，

和/或，所述域名的访问报文为预设格式，

和/或，所述域名的访问报文的大小为预设数值。

优选的，所述注册条件集中的所述注册条件包括：

所述域名位于域名白名单中。

优选的，所述注册条件集中的多条所述注册条件还包括：

所述域名的注册时间超出预设注册时间段，

和/或，所述域名的注册地址超出预设注册区域，

和/或，所述域名的历史捆绑记录中无恶意域名。