[发明专利]一种基于周期性检测的恶意软件域名检测方法及系统

摘要

本发明提出一种基于周期性检测的恶意软件域名检测方法，包含以下步骤：1)对输入数据进行过滤，得到一个稀少域名集合；2)从稀少域名集合中提取出<请求主机，稀少域名>的请求时间序列，对其进行周期性检测，得到周期性域名集合；3)获取周期性域名集合中每一个周期性域名的特征向量；4)将周期性域名集合中周期性域名进行人工标记，根据特征向量，使用标注好的合法域名和恶意域名对分类器进行训练；5)将新的未标注域名作为步骤4)训练后的分类器的输入进行检测，输出结果为恶意软件域名。能够在隐蔽通信中发现具有周期性的恶意软件域名。同时提出基于上述方法的系统。

主权项

1.一种基于周期性检测的恶意软件域名分类器构造方法，包含以下步骤：1)对输入数据进行过滤，得到一个稀少域名集合；2)从稀少域名集合中提取出一请求时间序列，对其进行周期性检测，得到周期性域名集合；所述周期性检测包括：2‑2‑1)求出请求时间序列中的每两个相邻时间的间隔，统计每个时间间隔出现的次数，形成时间间隔集合；2‑2‑2)将时间间隔集合转化为直方图；该直方图的横坐标对应于时间间隔，纵坐标对应于次数；2‑2‑3)对上述直方图进行均匀判断阶段和/或非均匀连续倍数判断阶段，输出周期性域名；所述均匀判断阶段包括比较当前直方图和一构造直方图的相似性，该构造直方图由高度大于当前直方图中最大值的一半的直条构成；如果相似性小于一阈值，则输出此域名为周期性域名；否则，进行非均匀连续倍数判断阶段；所述非均匀连续倍数判断阶段包括将2‑2‑2)中获得的直方图的横坐标视为新的序列，将此序列从小到大排序，计算出本序列的间隔集合，并将该集合转化为新的直方图，比较此新的直方图和构造直方图的相似性，如果相似性小于前述阈值，则输出此域名为周期性域名；否则，输出此域名为非周期性域名；3)获取周期性域名集合中每一个周期性域名的特征向量；4)将周期性域名集合中周期性域名进行人工标记，根据特征向量，使用标注好的合法域名和恶意域名对分类器进行训练。