[发明专利]一种可疑域名检测方法及装置有效
| 申请号： | 201710972955.7 | 申请日： | 2017-10-18 |
| 公开（公告）号： | CN107666490B | 公开（公告）日： | 2019-09-20 |
| 发明（设计）人： | 朱安南;姜楠;马铮 | 申请（专利权）人： | 中国联合网络通信集团有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06;H04L29/12 |
| 代理公司： | 北京中博世达专利商标代理有限公司 11274 | 代理人： | 申健 |
| 地址： | 100033 *** | 国省代码： | 北京;11 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 一种可疑域名检测方法及装置，涉及网络安全领域，本申请实施例提供的方法能够利用僵尸木马系统检测日志和DNS日志对可疑域名的IP地址进行检测。该方法包括：根据僵尸木马系统检测日志获取活跃僵尸木马控制端IP地址；根据DNS日志获取检测期内IP地址与域名的对应关系；获取对应域名数量大于第二阈值的IP地址；提取IP地址对应的每个域名中的关键域名字符串，计算字符在预定范围中的出现频次，预定范围包括IP地址对应的所有域名的关键域名字符串；利用聚类算法对所述IP地址进行聚类；根据各个点簇中所包括的活跃僵木点的数量，确定可疑点簇；将可疑点簇中包括的IP地址确定为可疑域名对应的IP地址。本申请应用于检测可疑域名。 | ||
| 搜索关键词： | 一种 可疑 域名 检测 方法 装置 | ||
【主权项】：
1.一种可疑域名检测方法，其特征在于，包括：根据僵尸木马系统检测日志获取活跃僵木IP地址，所述活跃僵木IP地址为在检测期内被作为僵尸网络通信中控制端地址的次数大于第一阈值的IP地址；根据域名系统DNS日志获取所述检测期内IP地址与域名的对应关系；根据所述IP地址与域名的对应关系，获取对应的域名数量大于第二阈值的IP地址；提取所述IP地址对应的每个域名中的关键域名字符串，计算字符在预定范围中的出现频次，所述预定范围包括所述IP地址对应的所有域名的关键域名字符串；根据所述出现频次，利用聚类算法对所述IP地址进行聚类，得到N个点簇；根据各个点簇中所包括的活跃僵木点的数量，确定可疑点簇，其中所述活跃僵木点指在点簇中表示所述活跃僵木IP地址的点；将所述可疑点簇中包括的IP地址确定为可疑域名对应的IP地址。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于中国联合网络通信集团有限公司，未经中国联合网络通信集团有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201710972955.7/，转载请声明来源钻瓜专利网。
