[發明專利]一種基于詞法特征的惡意域名快速檢測方法

在審

• 申請號: 201910001373.3
• 申請日: 2019-01-02
• 公開（公告）號: CN109889491A
• 公開（公告）日: 2019-06-14
• 發明（設計）人: 趙宏;常兆斌;孔東一;王偉杰;楊永娟;劉娟;黨育;王孝通;劉向東
• 申請（專利權）人: 蘭州理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 廣州藍晟專利代理事務所(普通合伙) 44452
• 代理人: 欒洋洋

1.一種基于詞法特征的惡意域名快速檢測方法，其特征在于，包括步驟

S1：數據標準化，將待測域名按照長度進行正則化處理；

S2：權值計算，通過計算待測域名的權值，將域名詞法特征的提取轉化為數值計算；

S3：聚類分組，利用聚類算法將待測域名劃分成組內域名在長度上相似的多個小組；

S4：組間排序，利用改進的堆排序算法按照組內權值總和計算各域名小組優先級；

S5：域名檢測，按照優先級降序依次計算域名小組中每一域名與黑名單上域名之間的編輯距離，并根據編輯距離的大小快速判斷出惡意域名。

2.如權利要求1所述的基于詞法特征的惡意域名快速檢測方法，其特征在于，步驟S1所述的正則化處理是采用max-min準則將每一域名長度值轉化為[0,1]區間中的數值，計算公式為

其中，s_i為第i個域名標準化后的值，L_i為域名長度，L_max與L_min分別為域名列表中域名長度最大值與最小值。

3.如權利要求1所述的基于詞法特征的惡意域名快速檢測方法，其特征在于，步驟S2所述的權值計算是通過計算待測域名列表中每條域名的權值，將域名詞法特征的提取轉化為數值計算，權值計算公式為

其中，w_i為域名權值，L_i為域名長度，c_i是與第i個域名長度值相同的域名在域名列表中出現的次數，n是經過標準化處理后的域名總數，a和b是條件常數，D是惡意域名與合法域名長度的分界經驗值。

4.如權利要求1所述的基于詞法特征的惡意域名快速檢測方法，其特征在于，步驟S3中所述的聚類分組的實現包括步驟

S31：選取經過標準化處理后的n個待測樣本，形成大小為n的測試集T，通過計算測試集T中每一域名的權值，構造域名權值集合W＝(w₁,...,w_n)；

S32：利用測試集T中每一標準化后的樣本值s_i與對應的權值w_i，根據公式求解候選支持點集合P＝{(w_i，u_i)|i＝1,...,n}，其中，μ_i(i＝1,...,n)是在經過標準化的(s₁,...,s_n)上選取的候選支持點，w_i(i＝1,...,n)為域名權值；

S33：將候選支持點集合P中的每一組候選支持點帶入公式來尋找每一小組中的最優支持點，其中,x_i(i＝1,...,n)是在候選支持點中取得的最優支持點，c_i是與第i個域名長度值相同的域名在域名列表中出現的次數；

S34：將找到的最優支持點組合成支持點集合v＝{x₁,...,x_m}，通過公式計算測試集T中每一待測域名s_i與支持點集合ν中最優支持點x_j(j＝1,...,m,m<n)之間的距離。

5.如權利要求1所述的基于詞法特征的惡意域名快速檢測方法，其特征在于，步驟S4所述的組間排序實現包括步驟

S41：根據優先級降序序列構建成一個小頂堆；

S42：待堆頂最小元素取出后，比較當前空缺節點的左右孩子節點，小者放入堆頂；

S43：比較子樹中空缺位置的左右孩子節點大小，小者進入空缺位置；

S44：重復步驟S42和S43，直到堆頂節點為空。

6.如權利要求1所述的基于詞法特征的惡意域名快速檢測方法，其特征在于，步驟S5所述的編輯距離計算是通過插入、刪除、替換操作計算兩個域名字符串序列的最小編輯距離，采用的計算公式為

其中，d[i-1,j]+1,d[i,j-1]+1,d[i-1,j-1]+1分別表示編輯過程中域名字符串的插入、刪除、替換等操作。

7.如權利要求1或權利要求6所述的基于詞法特征的惡意域名快速檢測方法，其特征在于，步驟S5所述的惡意域名檢測是根據各域名小組中每一域名與域名黑名單樣本中各域名之間的編輯距離值是否符合預設的判定條件，分別判斷域名小組中每一域名是否為惡意域名，所述的域名黑名單樣本為通過開源渠道獲取的惡意域名。