[發明專利]一種基于規則的惡意域名所屬DGA家族的檢測方法

有效

• 申請號: 201710855704.0
• 申請日: 2017-09-20
• 公開（公告）號: CN107645503B
• 公開（公告）日: 2020-01-24
• 發明（設計）人: 程華才;范淵;李凱
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 33212 杭州中成專利事務所有限公司
• 代理人: 周世駿

1.一種基于規則的惡意域名所屬DGA家族的檢測方法，用于對惡意域名進行分析與檢測，識別網絡中被攻擊的計算機設備所感染病毒的DGA家族的種類，其特征在于，所述基于規則的惡意域名所屬DGA家族的檢測方法包括下述步驟：

步驟一：在互聯網上收集DGA算法相關的資料，以及獲得由這些DGA算法生成的域名樣例；

步驟二：對每個DGA算法，選取將要分析的域名集合特征，最終形成一個總的特征列表，對每一種DGA算法選擇至少一個訓練樣本，對特征列表里的每一個特征，計算和歸納出訓練樣本對應的特征值，最終形成一個特征矩陣，具體包括下述子步驟：

步驟(2A)：將步驟一中每一個DGA算法在一個時間段里生成的域名集合，作為一個樣本，列出需要分析的域名特征；

步驟(2B)：通過步驟(2A)獲得每個樣本需要分析的域名特征，然后對這些域名特征做并集操作，最后得到一個特征列表；

步驟(2C)：對每一個DGA算法生成的至少兩個域名集合，劃分為兩部分：一部分作為訓練樣本，設訓練樣本的樣本個數為M；另一部分作為測試樣本；

針對M個訓練樣本，分別計算特征的值，設步驟(2B)得到的特征列表里有N個特征，則對每一個樣本計算這N個特征的值，再加上每一個樣本所歸屬的DGA家族類型，M個訓練樣本經過計算后，形成一個M行N+1列的特征矩陣；其中，M、N為大于零的自然數；

步驟三：規則創建功能根據訓練樣本的特征矩陣，創建DGA家族類型分類規則；

創建好DGA家族類型分類規則之后，將DGA家族類型分類規則保存在配置文件或者關系數據庫里，由檢測模塊進行加載和使用；所述檢測模塊用于檢測某一個具體的域名集合樣本的DGA家族類型；

所述檢測模塊，即為具有DGA家族類型檢測功能的程序，是指可以檢測某一個具體的域名集合樣本的DGA家族類型的程序；對于輸入的一個域名集合樣本的特征的值，檢測模塊將依據創建好的DGA家族類型分類規則，判斷出該域名集合樣本的DGA家族類型，或者是其他情況；所述其他情況是指請求解析的域名沒有找到特征匹配的DGA家族類型，該域名是正常的域名或惡意域名；

步驟四：采集模塊采集DNS協議流量、HTTP協議流量，獲得原始流量數據；

所述采集模塊用于網絡流量采集，能直接從網卡上采集數據，也能直接接收其他系統發送過來的流量數據；

所述DNS協議流量是指計算機設備為了獲取域名對應的IP地址，向DNS服務器發送的解析域名對應的IP地址的請求以及DNS服務器返回的域名解析結果；通過收集需要保護的計算機設備的DNS協議流量，并檢測這些計算機請求解析的域名，是否為某個DGA算法生成的，來判斷這些計算機設備是否被感染了惡意程序，以及與惡意程序相關的DGA家族類型；

所述HTTP協議流量用于記錄檢測到惡意程序在請求解析惡意域名返回成功后，進一步可能請求的HTTP操作，方便后續的風險檢測；

步驟五：協議解析模塊根據協議規范解析DNS協議流量、HTTP協議流量，還原原始網絡行為信息，獲得后續功能模塊能夠處理的流量數據；

所述協議解析模塊能依據協議規范，從網絡流量數據里解析出通信雙方的信息，包括源IP、目的IP、源端口、目的端口、請求內容和響應信息；

步驟六：協議解析模塊對需要保護的計算機設備請求解析的域名，使用域名白名單庫進行過濾，如果在域名白名單庫里能夠找到，則認為是正常普通的域名，不再檢測該域名所屬的DGA家族類型，繼續處理下一個域名；如果在域名白名單庫里沒有找到，則需要將該域名以及請求解析該域名的計算機IP地址發送給檢測模塊，進入步驟七處理；

步驟七：檢測模塊根據規則檢測DGA家族類型，具體包括下述子步驟：

步驟(7A)：檢測模塊加載和使用步驟三創建好的DGA家族類型分類規則，接收步驟六發送過來的計算機IP和該計算機請求解析的域名，檢測模塊將該計算機在一段時間里請求解析的多個域名作為一個域名集合樣本，結合步驟(2B)得到的特征列表，計算和歸納出該域名集合樣本的特征；用于形成域名集合樣本的所述一段時間，根據網絡內部的情況和需求進行預先確定；

步驟(7B)：使用步驟(7A)計算得到的樣本特征，去匹配檢測模塊已經加載的DGA家族類型分類規則；

如果匹配成功，則說明該域名集合樣本里包括的域名是由與該DGA家族相關的惡意程序請求解析的，進一步說明該計算機感染了惡意程序；如果匹配失敗，則繼續執行步驟八；

步驟八：如果根據請求解析的域名，沒有找到特征匹配的DGA家族類型，則分為下述兩種情況：

(1)請求解析的域名是正常的域名，則補充、更新域名白名單庫；

(2)請求解析的域名為惡意域名，分為三種情形：

A、這是一種已經存在的病毒程序，但是它請求的域名特征不在已經創建的規則里；

B、這是一個已經存在的病毒程序的新的變種，或者是病毒程序對原先已經存在的DGA算法使用了不同的輸入參數，導致輸出的域名集合的特征變化很大；

C、這是一個全新的病毒程序，它請求解析的域名特征在在網絡上還沒有完整的資料。