[发明专利]基于Passive DNS迭代聚类的恶意域名检测方法

摘要

本发明公开了一种基于Passive DNS迭代聚类的恶意域名检测方法，包括如下步骤：步骤一：提取DNS查询数据，得到DNS数据组；步骤二：根据已知的白名单域名网站及域名的总访问量，去除DNS数据组中包含白名单域名的数据组，得到处理后DNS数据组；步骤三：通过处理后DNS数据组中域名与IP之间的相互映射关系，反复迭代查询，得到存在关联的域名组；步骤四：抽取恶意域名的特征并训练得到模型，判断存在关联的域名组是否存在恶意域名。本发明公开的一种基于Passive DNS迭代聚类的恶意域名检测方法，通过域名和IP之间的映射关系，反复迭代查询，得到存在关联的域名组，大大提高了恶意域名的正检率。

主权项

1.一种基于Passive DNS迭代聚类的恶意域名检测方法，其特征在于，包括如下步骤：步骤一：提取DNS查询数据，得到DNS数据组；步骤二：根据已知的白名单域名网站及域名的总访问量，去除DNS数据组中包含白名单域名的数据组，得到处理后DNS数据组；步骤三：通过处理后DNS数据组中域名与IP之间的相互映射关系，反复迭代查询，得到存在关联的域名组，所述反复迭代查询的具体步骤包括：在所述处理后DNS数据组中选定一个域名D0，查找所述域名D0在时间周期T内映射到的全部第一IP；解析所述第一IP的全部域名形成第一集合Cn，查询在所述时间周期T内第一集合Cn中的域名解析过的全部第二IP，解析到所述第二IP的全部域名形成第二集合Cn’，即完成一次迭代循环；当所述迭代循环中得到的第一集合Cn和第二集合Cn’不相等，则继续所述迭代循环；当所述迭代循环中得到的第一集合Cn和第二集合Cn’相等，则结束所述迭代循环；步骤四：抽取恶意域名的特征并训练得到模型，判断存在关联的域名组是否存在恶意域名。