域名检测方法及装置制造方法及图纸

本申请提供一种域名检测方法及装置，涉及通信领域，能够检测变种的DGA算法生成的具有较长比例的固定词根的恶意域名。该方法包括：根据每个域名的解析特征，将至少一个域名进行分类，得到至少一个域名集合；将域名集合中的域名按照一级域名有效字符长度进行分类，得到至少一个域名子集；对域名子集中的任意两个域名计算满足的生成模式字符串，即如果所选两个域名的有效字符中在相同位置上具有相同的字符，则将字符确定为目标字符，将位置确定为目标字符位置；根据目标字符和目标字符位置，确定模式字符串；根据所述模式字符串，对待测域名进行检测。

Domain Name Detection Method and Device

This application provides a domain name detection method and device, which relates to the field of communication, and can detect variants of DGA algorithm to generate malicious domain names with a long proportion of fixed word roots. The method includes: classifying at least one domain name according to the analytic characteristics of each domain name to get at least one domain name set; classifying the domain names in the domain name set according to the effective character length of the first domain name to get at least one domain name subset; calculating the generation pattern string satisfied by any two domain names in the domain name subset, that is, if the selected two domain names are valid. If there are the same characters in the same position, the character will be determined as the target character, and the position will be determined as the target character position; according to the target character and the target character position, the pattern string will be determined; according to the pattern string, the domain name will be detected.

【技术实现步骤摘要】
域名检测方法及装置
本申请涉及通信领域，尤其涉及一种域名检测方法及装置。
技术介绍
僵尸网络、恶意软件的工作模式为：在本地运行服务端程序，该服务端程序和远程部署的控制端进行通信，接收远程控制指令。为了逃避监控，控制端经常采用域名生成算法(domaingeneratealgorithm,DGA)生成大量域名，从而控制端的域名可以在这些域名中不断变换，以逃避防护程序或防护设备的封堵。采用传统DGA算法生成的域名和正常域名的语义特征有较大区别。因此，在防御僵尸网络、恶意软件的安全威胁时，现有域名检测算法主要通过检测域名的语义特征来识别恶意软件。例如：针对域名按照N元模型(N-Gram)切分域名，通过隐马尔可夫模型(hiddenMarkovmodel,HMM)字符转换得分、元音字母、辅音字母比例、数字、单词比例等维度抽取特征向量，使用决策树、随机森林等算法对抽取的特征向量进行“可读性”、“语义合法性”判断，进而识别DGA算法生成的域名。现有域名检测算法的缺点在于，采用变种的DGA算法生成域名时，如在生成域名中加入较长比例的固定词根，使生成的域名在所抽取特征向量指标上与正常域名差异较小，即算法生成域名具有一定的可读性、语义性特征，现有域名检测算法通过抽取特征向量进行判别的方法难以检测这种域名。
技术实现思路
本申请提供一种域名检测方法及装置，能够检测上述变种的DGA算法生成的具有较长比例的固定词根的恶意域名。为达到上述目的，本申请采用如下技术方案：第一方面，本申请提供一种域名检测方法，该方法可以包括：根据每个域名的解析特征，将至少一个域名进行分类，得到至少一个域名集合；所述域名集合中包括具有相同解析特征的域名。将所述域名集合中的域名按照一级域名有效字符长度进行分类，得到至少一个域名子集；所述有效字符是指一级域名中除去后缀之后的剩余字符；所述域名子集中包括具有相同一级域名有效字符长度的域名。若所述域名子集中的任意两个域名中的有效字符中在相同位置上具有相同的字符，则将所述字符确定为目标字符，将所述位置确定为目标字符位置。根据所述目标字符和所述目标字符位置，确定所述域名子集中的任意两个域名对应的模式字符串；所述模式字符串用于记录所述目标字符和所述目标字符位置。根据每个域名子集对应的至少一个所述模式字符串，对待测域名进行检测。第二方面，本申请提供一种域名检测装置，该域名检测装置包括：分类单元、处理单元和检测单元。其中，分类单元，用于根据每个域名的解析特征，将至少一个域名进行分类，得到至少一个域名集合；所述域名集合中包括具有相同解析特征的域名。将所述域名集合中的域名按照一级域名有效字符长度进行分类，得到至少一个域名子集；所述有效字符是指一级域名中除去后缀之后的剩余字符；所述域名子集中包括具有相同一级域名有效字符长度的域名。处理单元，用于若所述域名子集中的任意两个域名中的有效字符中在相同位置上具有相同的字符，则将所述字符确定为目标字符，将所述位置确定为目标字符位置。根据所述目标字符和所述目标字符位置，确定所述域名子集中的任意两个域名对应的模式字符串；所述模式字符串用于记录所述目标字符和所述目标字符位置。检测单元，用于根据每个域名子集对应的至少一个所述模式字符串，对待测域名进行检测。第三方面，本申请提供一种域名检测装置域名检测装置，该域名检测装置包括：处理器、收发器和存储器。其中，存储器用于存储一个或多个程序。该一个或多个程序包括计算机执行指令，当该域名检测装置运行时，处理器执行该存储器存储的该计算机执行指令，以使该域名检测装置执行第一方面及其各种可选的实现方式中任意之一所述的域名检测方法。第四方面，本申请提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当计算机执行该指令时，该计算机执行上述第一方面及其各种可选的实现方式中任意之一所述的域名检测方法。第五方面，本申请提供一种包含指令的计算机程序产品，当所述计算机程序产品在计算机上运行时，使得所述计算机执行上述第一方面及其各种可选的实现方式中任意之一所述的域名检测方法。本申请提供的域名检测方法及装置，域名检测装置根据不同域名解析特征对域名进行分类，得到至少一个域名集合。然后将域名集合中的域名根据一级域名有效长度再次进行分类，得到至少一个域名子集。接着从域名子集中的对任意两个域名的计算满足的模式字符串，即在两个域名的有效字符中确定目标字符和目标字符位置，从而得到模式字符串。通过模式字符串能够对具有较长比例的固定词根的恶意域名进行检测，从而解决采用变种的DGA算法生成域名时，在生成域名中加入较长比例的固定词根，使生成的域名在所抽取特征向量指标上与正常域名差异较小，现有域名检测算法通过抽取特征向量进行判别的方法难以检测的问题。附图说明图1为本申请实施例提供的域名检测方法示意图；图2为本申请实施例提供的域名检测装置的结构示意图一；图3为本申请实施例提供的域名检测装置的结构示意图二。具体实施方式下面结合附图对本申请实施例提供的域名检测方法及装置进行详细地描述。本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。本申请的说明书以及附图中的术语“第一”和“第二”等是用于区别不同的对象，或者用于区别对同一对象的不同处理，而不是用于描述对象的特定顺序。此外，本申请的描述中所提到的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括其他没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。需要说明的是，本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。在本申请的描述中，除非另有说明，“多个”的含义是指两个或两个以上。本申请实施例提供一种域名检测方法，如图1所示，该方法可以包括S101-S105：S101、根据每个域名的解析特征，将至少一个域名进行分类，得到至少一个域名集合。所述域名集合中包括具有相同解析特征的域名。示例性的，本实施例中，按照在一定统计周期内出现以下解析特征分为5个域名集合，其中每一种现象与采用DGA算法生成的恶意域名关联程度由1至5逐级提高：1)获取授权服务器拒绝解析的域名，即授权服务器由于某种配置原因，拒绝为该域名提供解析服务。本实施例中，授权服务器指权威域名系统(DomainNameSystem，DNS)服务器。2)域名解析结果为域名不存在或未注册的域名，即域名解析结果为NXDomain的域名。3)域名解析结果在第一时间段内解析得到的互联网协议(InternetProtocol，IP)地址为预设地址，且在第二时间段解析得到的IP地址为非预设地址的域名。本实施例中，预设地址为127.0.0.1。4)域名解析得到的IP地址曾经被异常网络攻击行为使用的域名。5)符合域名隧道DNSTunnel行为特征的域本文档来自技高网...

【技术保护点】
1.一种域名检测方法，其特征在于，包括：根据每个域名的解析特征，将至少一个域名进行分类，得到至少一个域名集合；所述域名集合中包括具有相同解析特征的域名；将所述域名集合中的域名按照一级域名有效字符长度进行分类，得到至少一个域名子集；所述有效字符是指一级域名中除去后缀之后的剩余字符；所述域名子集中包括具有相同一级域名有效字符长度的域名；若所述域名子集中的任意两个域名中的有效字符中在相同位置上具有相同的字符，则将所述字符确定为目标字符，将所述位置确定为目标字符位置；根据所述目标字符和所述目标字符位置，确定所述域名子集中的任意两个域名对应的模式字符串；所述模式字符串用于记录所述目标字符和所述目标字符位置；根据每个域名子集对应的至少一个所述模式字符串，对待测域名进行检测。

【技术特征摘要】
1.一种域名检测方法，其特征在于，包括：根据每个域名的解析特征，将至少一个域名进行分类，得到至少一个域名集合；所述域名集合中包括具有相同解析特征的域名；将所述域名集合中的域名按照一级域名有效字符长度进行分类，得到至少一个域名子集；所述有效字符是指一级域名中除去后缀之后的剩余字符；所述域名子集中包括具有相同一级域名有效字符长度的域名；若所述域名子集中的任意两个域名中的有效字符中在相同位置上具有相同的字符，则将所述字符确定为目标字符，将所述位置确定为目标字符位置；根据所述目标字符和所述目标字符位置，确定所述域名子集中的任意两个域名对应的模式字符串；所述模式字符串用于记录所述目标字符和所述目标字符位置；根据每个域名子集对应的至少一个所述模式字符串，对待测域名进行检测。2.根据权利要求1所述的域名检测方法，其特征在于，所述域名的解析特征包括以下特征中的一种或多种：特征一：授权服务器拒绝解析的域名；特征二：域名解析结果为域名不存在的域名；特征三：域名解析结果在第一时间段内解析得到的互联网协议IP地址为预设地址，且在第二时间段解析得到的IP地址为非预设地址的域名；特征四：域名解析得到的IP地址曾经被异常网络攻击行为使用的域名；特征五：符合域名隧道DNSTunnel行为特征的域名。3.根据权利要求1所述的域名检测方法，其特征在于，所述根据所述目标字符和所述目标字符位置，确定所述域名子集中的任意两个域名对应的模式字符串，包括：根据所述目标字符和所述目标字符位置，生成所述任意两个域名对应的模式字符串，所述模式字符串中分别在每个目标字符位置上显示所述目标字符位置对应的所述目标字符，在其余字符位置显示预设字符，所述预设字符用于表示所述任意两个域名在所述其余位置上不具备相同的字符。4.根据权利要求1所述的域名检测方法，其特征在于，所述根据所述目标字符和所述目标字符位置，确定所述域名子集中任意两个域名对应的模式字符串，包括：根据所述目标字符和所述目标字符位置，生成所述任意两个域名对应的第一备选模式字符串，所述第一备选模式字符串中分别在每个目标字符位置上显示所述目标字符位置对应的所述目标字符，在其余字符位置显示预设字符，所述预设字符用于表示所述任意两个域名在所述其余位置上不具备相同的字符；若所述第一备选模式字符串中存在特定字符，则将所述特定字符替换为所述预设字符，得到第二备选模式字符串；所述特定字符包括用于组成白名单字符的字符；记录所述第二备选模式字符串中目标字符的数量，若所述目标字符的数量占所述域名子集对应的一级域名有效字符长度的比值大于预设阈值，则将所述第二备选模式字符串确定为模式字符串。5.根据权利要求1至4任一项所述的域名检测方法，其特征在于，所述根据每个域名子集对应的至少一个所述模式字符串，对待测域名进行检测，包括：若所述待测域名在每一个所述目标字符位置上都有与所述模式字符串中的目标字符相同的字符，则确定所述待测域名为恶意域名。6.根据权利要求1至4任一项所述的域名检测方法，其特征在于，所述根据每个域名子集对应的至少一个所述模式字符串，对待测域名进行检测，包括：在所述域名子集中分别确定每个模式字符串对应的备选域名集合，其中，所述备选域名集合中包括至少一个域名，每个域名与对应的模式字符串在目标字符位置具有相同的目标字符；若所述备选域名集合中的域名数量大于预设阈值，则将所述备选域名集合中的域名...

【专利技术属性】
技术研发人员：朱安南，姜楠，马铮，
申请(专利权)人：中国联合网络通信集团有限公司，
类型：发明
国别省市：北京,11