[发明专利]恶意域名检测方法、设备、电子设备及存储介质

权利要求书

1.一种恶意域名检测方法，包括：

获取待检测域名，确定所述待检测域名对应的域名信息及绝对路径信息；

对所述域名信息进行特征统计，生成特征数据，对所述绝对路径信息进行数据切分，生成切分数据；

基于预设的参照域名列表，对所述特征数据及所述切分数据进行域名差异判断，判断所述待检测域名是否为相似域名；

响应于所述待检测域名为相似域名，基于第三方检测工具对所述待检测域名进行恶意判断；

输出判断结果，并基于所述判断结果对所述待检测域名执行信任操作或隔离操作。

2.根据权利要求1所述的方法，其中，所述获取待检测域名，包括：

判断当前时间是否在预设时间段内；

响应于当前时间在预设时间段内，监控超文本传输协议流量，在所述超文本传输协议流量中抓取所述待检测域名。

3.根据权利要求2所述的方法，其中，所述获取待检测域名之后，还包括：

基于预设的白名单列表及黑名单列表，检测所述待检测域名是否属于所述白名单列表或所述黑名单列表；

响应于所述待检测域名属于所述白名单列表，对所述待检测域名执行信任操作；

响应于所述待检测域名属于所述黑名单列表，对所述待检测域名执行隔离操作。

4.根据权利要求1所述的方法，其中，所述对所述域名信息进行特征统计，生成特征数据，包括：

统计所述域名信息中字符的字符长度、每个字符的种类及字符间的相对位置关系，以此生成所述特征数据。

5.根据权利要求4所述的方法，其中，所述基于预设的参照域名列表，对所述特征数据及所述切分数据进行域名差异判断，判断所述待检测域名是否为相似域名，包括：

确定所述特征数据与所述参照域名列表中的每个参照域名之间的字符长度差异、字符变换差异及最小编辑距离；

当所述字符长度差异、所述字符变换差异和/或所述最小编辑距离小于设定阈值时，确定所述待检测域名为当前参照域名的相似域名。

6.根据权利要求1所述的方法，其中，所述对所述绝对路径信息进行数据切分，生成切分数据，包括：

通过神经语言程序学算法对所述绝对路径信息进行切分生成对应的字符数组，以此生成所述切分数据。

7.根据权利要求6所述的方法，其中，所述基于预设的参照域名列表，对所述特征数据及所述切分数据进行域名差异判断，判断所述待检测域名是否为相似域名，包括：

确定所述参照域名列表中每个参照域名的参照数组，比对所述参照数组与所述字符数组，响应于比对成功，确定所述待检测域名为当前参照域名的相似域名。

8.一种恶意域名检测设备，包括：

获取模块，用于获取待检测域名，确定所述待检测域名对应的域名信息及绝对路径信息；

处理模块，用于对所述域名信息进行特征统计，生成特征数据，对所述绝对路径信息进行数据切分，生成切分数据；

判断模块，用于基于预设的参照域名列表，对所述特征数据及所述切分数据进行域名差异判断，判断所述待检测域名是否为相似域名；

检测模块，用于响应于所述待检测域名为相似域名，基于第三方检测工具对所述待检测域名进行恶意判断；

输出模块，用于输出判断结果，并基于所述判断结果对所述待检测域名执行信任操作或隔离操作。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如权利要求1至7任一项所述的方法。

10.一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使所述计算机实现权利要求1至7任一项所述的方法。