[發明專利]一種檢測DGA域名的方法及裝置

在審

• 申請號: 201910344380.3
• 申請日: 2019-04-26
• 公開（公告）號: CN110113327A
• 公開（公告）日: 2019-08-09
• 發明（設計）人: 王占一
• 申請（專利權）人: 北京奇安信科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;G06N3/08;G06N3/04
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王慶龍;苗曉靜

本發明實施例提供一種檢測DGA域名的方法及裝置，所述方法包括：獲取待檢測的DGA域名；預處理所述DGA域名，以獲取與所述DGA域名的域名字符相對應的索引序列；輸入所有索引序列至預設DGA域名檢測模型，并將所述預設DGA域名檢測模型的輸出結果作為所述DGA域名的檢測結果；其中，所述預設DGA域名檢測模型是采用DGA域名樣本數據、非DGA域名樣本數據訓練卷積神經網絡得到的。所述裝置執行上述方法。本發明實施例提供的檢測DGA域名的方法及裝置，通過輸入與待檢測的DGA域名的域名字符對應的索引序列至預設DGA域名檢測模型，并將預設DGA域名檢測模型的輸出結果作為DGA域名的檢測結果，能夠準確、高效地檢測DGA域名。

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種檢測DGA域名的方法及裝置。

背景技術

在網絡安全領域，攻擊者常常會使用域名將惡意程序連接至遠程命令和控制服務器，從而達到操控受害者機器的目的。攻擊者使用域名生成算法(Domain GenerationAlgorithm，簡稱“DGA”)，可以生成大量偽隨機或看似具備某種規律的域名，這些域名通常會被編碼在惡意軟件中，相比于硬編碼的域名，DGA域名可以有效避開黑名單列表的檢測，如果能夠快速檢測DGA域名，在一定程度上能夠快速發現惡意軟件的感染情況，進行預警。

現有技術的檢測方法為將當前域名在本地或云端的威脅情報庫中查詢，如果查找到庫中的惡意域名，則可以直接判定為DGA域名，但是，這種方法的局限性在于：只能檢測威脅情報庫到中已知的域名，對于新生成的域名無能為力。還有的方法基于傳統機器學習的DGA域名檢測，通過人工提取特征，然后進行建模和檢測，但是該方法由于需要人工提取特征，耗時耗力，效率及其低下。

因此，如何避免上述缺陷，準確、高效地檢測DGA域名，成為亟須解決的問題。

發明內容

針對現有技術存在的問題，本發明實施例提供一種檢測DGA域名的方法及裝置。

本發明實施例提供一種檢測DGA域名的方法，包括：

獲取待檢測的DGA域名；

預處理所述DGA域名，以獲取與所述DGA域名的域名字符相對應的索引序列；

輸入所有索引序列至預設DGA域名檢測模型，并將所述預設DGA域名檢測模型的輸出結果作為所述DGA域名的檢測結果；其中，所述預設DGA域名檢測模型是采用DGA域名樣本數據、非DGA域名樣本數據訓練卷積神經網絡得到的。

本發明實施例提供一種檢測DGA域名的裝置，包括：

獲取單元，用于獲取待檢測的DGA域名；

預處理單元，用于預處理所述DGA域名，以獲取與所述DGA域名的域名字符相對應的索引序列；

檢測單元，用于輸入所有索引序列至預設DGA域名檢測模型，并將所述預設DGA域名檢測模型的輸出結果作為所述DGA域名的檢測結果；其中，所述預設DGA域名檢測模型是采用DGA域名樣本數據、非DGA域名樣本數據訓練卷積神經網絡得到的。

本發明實施例提供一種電子設備，包括：存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其中，

所述處理器執行所述程序時實現如下方法步驟：

獲取待檢測的DGA域名；

預處理所述DGA域名，以獲取與所述DGA域名的域名字符相對應的索引序列；

輸入所有索引序列至預設DGA域名檢測模型，并將所述預設DGA域名檢測模型的輸出結果作為所述DGA域名的檢測結果；其中，所述預設DGA域名檢測模型是采用DGA域名樣本數據、非DGA域名樣本數據訓練卷積神經網絡得到的。