[发明专利]一种面向物联僵尸网络的DGA域名检测方法

权利要求书

1.一种面向物联僵尸网络的DGA域名检测方法，其特征在于，包括：

获取物联网设备发出的DNS域名解析请求中的域名字符串；

将域名字符串输入训练好的域名检测模型中，得到域名的二分类和多分类结果；其中，所述域名检测模型是基于SmallBERT预训练模型与CNN的融合网络进行训练所得到的。

2.根据权利要求书1所述的面向物联僵尸网络的DGA域名检测方法，其特征在于，所述域名检测模型，通过以下步骤获得：

获取开源DGA域名数据集和合法域名数据集；

将DGA域名数据集中的DGA家族分为随机字符型、随机音节型和随机单词型三类；

对域名数据集分别进行DGA域名与合法域名的二分类标注，以及上述三类DGA域名与合法域名的多分类标注；

基于深度学习框架构建SmallBERT预训练模型与CNN融合网络的域名分类器；

基于所述处理后的域名数据集对所述域名分类器进行训练，得到所述域名检测模型。

3.根据权利要求2所述的面向物联僵尸网络的DGA域名检测方法，其特征在于，三类DGA家族的分类标准，包括：

随机字符型DGA家族域名的特征为，由英文字母随机组合或者英文字母加上数字随机组合，并且不具有语义和可发音性，包含的DGA家族有bedep、qakbot、ramdo、murofet、tempedreve、chinad、kraken、nymaim、ccleaner、ramnit等等；

随机音节型DGA家族域名的特征为，由英文的元音字母和辅音字母组合成一个可读音节，再由多个可读音节组合而成，具有可发音性，与真实域名的特征较为接近，但是不具有语义性，包含的DGA家族有pitou、pushdo、simda、symmi、vawtrak_v2、vawtrak_v3、pykspa、pykspa_noise等等；

随机单词型DGA家族域名的特征为，由多个单词列表中的多个单词单词组合而成，与真实域名的特征最为接近，由于组成单词的随机性，该类型域名的语义特征相较于合法域名弱，包含的DGA家族有bigviktor、matsnu、ngioweb、rovnix、suppobox_1、suppobox_2、suppobox_3、gozi_gpl、gozi_luther、gozi_nasa等等。

4.根据权利要求2所述的面向物联僵尸网络的DGA域名检测方法，其特征在于，所述的SmallBERT预训练模型与CNN融合网络的域名分类器，其特征在于，包括：

该分类器神经网络结构包括词嵌入层、字符嵌入层、SmallBERT层、一维CNN层、池化层、全连接层和输出层；

该分类器神经网络连接方式为，域名文本同时输入词嵌入层和字符嵌入层，词嵌入层的输出作为SmallBERT层的输入，字符嵌入层的输出作为CNN子网络的输入；CNN子网络中，一维CNN层的输出作为池化层的输入，池化层的输出作为全连接层的输入，全连接层的输出作为CNN子网络的输出；然后，将SmallBERT层的输出与CNN子网络的输出合并，作为另一全连接层的输入，该全连接层的输出经过最后一个全连接层，输出域名的分类结果；分类器的输出包括域名的二分类结果和多分类结果，二分类结果包括DGA域名或合法域名，多分类结果包括随机字符型DGA域名、随机音节型DGA域名、随机单词型DGA域名或合法域名。