[發(fā)明專利]惡意網(wǎng)站識別方法和系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201710113256.7
• 申請日: 2017-02-28
• 公開（公告）號: CN106992967A
• 公開（公告）日: 2017-07-28
• 發(fā)明（設計）人: 鄭東;李豐初
• 申請（專利權(quán)）人: 北京瑞星信息技術(shù)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F17/30
• 代理公司: 北京華進京聯(lián)知識產(chǎn)權(quán)代理有限公司11606
• 代理人: 王程

1.一種惡意網(wǎng)站識別方法，其特征在于，所述方法包括：

確定待識別網(wǎng)站；

根據(jù)特征庫，獲取所述待識別網(wǎng)站的待識別地址特征、待識別內(nèi)容特征和待識別全域特征，所述特征庫為根據(jù)網(wǎng)站提取的地址特征、頁面內(nèi)容特征和全域特征的集合；

將所述待識別地址特征、所述待識別內(nèi)容特征、所述待識別全域特征和惡意模型進行計算，獲取惡意網(wǎng)站匹配度，所述惡意模型包括根據(jù)惡意地址特征、惡意內(nèi)容特征、惡意全域信息，以及所述惡意地址特征權(quán)重值、所述惡意內(nèi)容特征權(quán)重值和所述惡意全域信息權(quán)重值獲取的模型；

當所述惡意網(wǎng)站匹配度大于惡意網(wǎng)站識別閾值時，確定所述待識別網(wǎng)站為惡意網(wǎng)站。

2.根據(jù)權(quán)利要求1所述的惡意網(wǎng)站識別方法，其特征在于，所述待識別地址特征，包括：

地址長度向量、地址數(shù)量向量和地址結(jié)構(gòu)向量其中的一種或任意組合，其中：

所述地址長度向量包括地址長度、域名長度、子域名長度、路徑總長度和參數(shù)總長度中的其中一種或任意組合；

所述地址數(shù)量向量包括地址字符數(shù)量、地址字符數(shù)量、子域名數(shù)量和特殊符號數(shù)量、指定字符集數(shù)量和參數(shù)內(nèi)指定字符數(shù)量中的其中一種或任意組合；

所述地址結(jié)構(gòu)向量包括用戶名存在標識、密碼存在標識、協(xié)議使用標識、域名結(jié)構(gòu)標識中的其中一種或任意組合。

3.根據(jù)權(quán)利要求1所述的惡意網(wǎng)站識別方法，其特征在于，所述待識別內(nèi)容特征，包括：

標簽向量和/或?qū)傩韵蛄浚渲校?/p>

所述標簽向量包括標簽內(nèi)容長度、標簽內(nèi)保護目標特征關(guān)鍵詞數(shù)量、標簽圖像資源、標簽數(shù)量、標簽內(nèi)特征關(guān)鍵字頻率中的其中一種或任意組合；

所述屬性向量包括屬性數(shù)量、屬性外鏈數(shù)量、屬性外鏈域名、屬性長度、隱藏屬性數(shù)量中的其中一種或任意組合。

4.根據(jù)權(quán)利要求1所述的惡意網(wǎng)站識別方法，其特征在于，所述待識別全域特征，包括：

IP向量、域名記錄向量和證書記錄向量其中的一種或任意組合，其中：

所述IP向量包括IP惡意標識、IP惡意關(guān)聯(lián)標識、IP惡意段數(shù)量中的其中一種或任意組合；

所述域名記錄向量包括域名惡意記錄標識、域名所有人惡意標識、域名注冊時間中的其中一種或任意組合；

所述證書記錄向量包括證書所有人記錄、證書注冊時間、證書可信度中的其中一種或任意組合。

5.根據(jù)權(quán)利要求1所述的惡意網(wǎng)站識別方法，其特征在于，所述將所述待識別地址特征、所述待識別內(nèi)容特征、所述待識別全域特征和惡意模型進行計算，獲取惡意網(wǎng)站匹配度，還包括：

分別將所述待識別地址特征和惡意地址子模型進行計算，將所述待識別內(nèi)容特征和惡意內(nèi)容特征子模型進行計算，將所述待識別全域特征和惡意全域特征子模型進行計算，分別獲取惡意地址匹配度、惡意內(nèi)容匹配度和惡意全域匹配度；

將所述惡意地址匹配度、所述惡意內(nèi)容匹配度和所述惡意全域匹配度和所述惡意模型進行計算，獲取惡意網(wǎng)站匹配度，其中，所述惡意模型還包括：

根據(jù)惡意地址匹配度、惡意內(nèi)容匹配度和惡意全域匹配度以及所述惡意地址匹配度權(quán)重值、惡意內(nèi)容匹配度權(quán)重值和惡意全域匹配度權(quán)重值獲取的模型。

6.根據(jù)權(quán)利要求1所述的惡意網(wǎng)站識別方法，其特征在于，所述惡意模型，包括：

根據(jù)惡意地址特征、惡意內(nèi)容特征、惡意全域信息和預設的期望識別模型，利用機器學習算法，分別獲取所述惡意地址特征的惡意地址特征權(quán)重值、所述惡意內(nèi)容特征的惡意內(nèi)容特征權(quán)重值、所述惡意全域信息的惡意全域信息權(quán)重值，所述預設的期望識別模型為期望識別出的惡意網(wǎng)站的組合；

根據(jù)所述惡意地址特征、所述惡意內(nèi)容特征、所述惡意全域信息，以及所述惡意地址特征權(quán)重值、所述惡意內(nèi)容特征權(quán)重值和所述惡意全域信息權(quán)重值獲取惡意模型。