[发明专利]一种基于DNS流量的自适应恶意域名检测方法

摘要

本发明公开了一种基于DNS流量的自适应恶意域名检测方法，搜集第三方平台提供的黑白名单样本集，并依照域名结构特征列表，使用黑白名单样本集作为训练集基线，选择随机森林分类器训练域名结构检测模型；对判定为恶意的域名进行Whois查询及追踪验证；训练流量检测模型；将待检测的域名与DNS的流量数据经数据预处理后，分别作为加载的域名结构检测引擎和流量检测引擎的输入，得到预测结果；将流量检测引擎判定为恶意域名的数据集，定时更新域名结构检测引擎的训练集黑名单，形成自适应恶意域名检测模式。本发明能够快速地检测出可疑域名，并保持较低延时和可接受的准确率；能够海量数据面前检测出多种类型恶意域名，并保持较高准确率和较低误报率。

主权项

一种基于DNS流量的自适应恶意域名检测方法，其特征在于，包括如下步骤：步骤1)，搜集第三方平台提供的黑白名单样本集，并依照域名结构特征列表，使用黑白名单样本集作为训练集基线，选择随机森林分类器训练域名结构检测模型；步骤2)，提取元数据中协议为DNS的流量数据，对域名数据进行数据预处理操作，并将其作为域名结构检测模型的输入；步骤3)，使用域名结构检测模型对步骤2)中的输入进行分类，对判定为恶意的域名进行Whois查询及追踪验证；同时，抽取同一批次经验证后的恶意域名与Alexa前10万域名对应的步骤2)中的流量数据；步骤4)，依据流量特征列表，使用步骤3)得到的流量数据进行规则过滤，将处理后的结果作为训练集，选择Adaboost分类器训练流量检测模型；步骤5)，将待检测的域名与DNS的流量数据经数据预处理后，分别作为加载的域名结构检测引擎和流量检测引擎的输入，得到预测结果；步骤6)，将流量检测引擎判定为恶意域名的数据集，定时更新域名结构检测引擎的训练集黑名单，形成自适应恶意域名检测模式；并对域名结构检测引擎判定为恶意域名部分提交给其它检测模块，其它检测模块包括隐蔽通道检测与异常行为检测模块。