[發(fā)明專利]一種基于URLs極大模式的惡意URL檢測方法

在審

• 申請?zhí)枺?/td>: 201610023559.5
• 申請日: 2016-01-14
• 公開（公告）號: CN105528544A
• 公開（公告）日: 2016-04-27
• 發(fā)明（設(shè)計(jì)）人: 張鵬;熊翠文;劉慶云;楊嶸;鄭超;孫永
• 申請（專利權(quán)）人: 中國科學(xué)院信息工程研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11200
• 代理人: 司立彬

1.一種基于URLs極大模式的惡意URL檢測方法，其步驟為：

1)創(chuàng)建或選取一惡意URL訓(xùn)練樣本集，將其中每一惡意URL分割成三個段：域名、路 徑名、文件名，分別對應(yīng)得到域名段模式集合、路徑名段序列模式集合、文件名段模 式集合；

2)計(jì)算該域名段模式集合的極大段模式集合并記錄集合中每一極大段模式的樣本來源 編號，計(jì)算該文件名段模式集合的極大段模式集合并記錄集合中每一極大段模式的樣 本來源編號，計(jì)算該路徑名段模式集合的極大段序列模式集合并記錄集合中每一極大 段序列模式的樣本來源編號；

3)根據(jù)樣本來源編號對域名段模式集合的極大段模式集合中的極大段模式、文件名段模 式集合的極大段模式集合中的極大段模式和路徑名段序列模式集合的極大段序列模 式集合中的極大段序列模式進(jìn)行組合，得到多個URL極大模式，構(gòu)成一URL極大模 式集；

4)利用該URL極大模式集與被檢測的URL進(jìn)行匹配；如果匹配，則判斷該被檢測的 URL為惡意URL。

2.如權(quán)利要求1所述的方法，其特征在于，計(jì)算所述域名段模式集合的極大段模式集合的方 法為：首先根據(jù)該域名段模式集合構(gòu)成一段模式集合；其中，從該域名段模式集合的每一 域名段模式中分別提取一段模式，構(gòu)成一該段模式集合；然后對于該段模式集合計(jì)算其極 大段模式集合，即先計(jì)算該段模式集合中兩段模式s₁、s₂的極大段模式集合；然后計(jì)算該 極大段模式集合與該段模式集合中一未參與計(jì)算的段模式s₃的極大段模式集合；依此類 推，計(jì)算最新得到的極大段模式集合與該段模式集合中一未參與計(jì)算的段模式s_i的極大段 模式集合，最終得到該段模式集合對應(yīng)的極大段模式集合。

3.如權(quán)利要求1所述的方法，其特征在于，計(jì)算所述文件名段模式集合的極大段模式集合的 方法為：首先根據(jù)該文件名段模式集合構(gòu)成一段模式集合；其中，從該文件名段模式集合 的每一文件名段模式中分別提取一段模式，構(gòu)成一該段模式集合；然后對于該段模式集合 計(jì)算其極大段模式集合，即先計(jì)算該段模式集合中兩段模式s₁、s₂的極大段模式集合；然 后計(jì)算該極大段模式集合與該段模式集合中一未參與計(jì)算的段模式s₃的極大段模式集合； 依此類推，計(jì)算最新得到的極大段模式集合與該段模式集合中一未參與計(jì)算的段模式s_i的極大段模式集合，最終得到該段模式集合對應(yīng)的極大段模式集合。

4.如權(quán)利要求1所述的方法，其特征在于，計(jì)算該路徑名段序列模式集合的極大段序列模式 集合的方法為：首先根據(jù)該路徑名段序列模式集合構(gòu)成一段序列模式集合；其中，從該路 徑名段序列模式集合的每一路徑名序列段模式中分別提取一段序列模式，構(gòu)成一該段序列 模式集合；然后對于該段序列模式集合計(jì)算其極大段序列模式集合，即先計(jì)算該段序列模 式集合中兩段序列模式s₁、s₂的極大段序列模式集合；然后計(jì)算該極大段序列模式集合與 該段序列模式集合中一未參與計(jì)算的段序列模式s₃的極大段序列模式集合；依此類推，計(jì) 算最新得到的極大段序列模式集合與該段序列模式集合中一未參與計(jì)算的段序列模式s_i的極大段序列模式集合，最終得到該段序列模式集合對應(yīng)的極大段序列模式集合。

5.如權(quán)利要求1所述的方法，其特征在于，采用有窮自動機(jī)方法將該URL極大模式集與被 檢測的URL進(jìn)行匹配。