[發明專利]字典生成方法、域名檢測方法、裝置、設備及介質

有效

• 申請號: 202010023715.4
• 申請日: 2020-01-09
• 公開（公告）號: CN113098989B
• 公開（公告）日: 2023-02-03
• 發明（設計）人: 雷昕;閆凡;古亮
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L61/4511
• 分類號: H04L61/4511;H04L61/3015;G06F40/242
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 常忠良

1.一種字典生成方法，其特征在于，包括：

確定域名是否支持被成功解析，如果是則不對所述域名進行收集，如果否則以主機為單位對所述域名進行收集，得到不同主機對應的不同域名集；

對收集到的域名集中的域名進行分詞；

以分詞后得到的單詞作為頂點，并根據域名中存在拼接關系的單詞對相應的頂點進行連線，以生成所述域名集對應的連通子圖集；

確定所述連通子圖集中每個連通子圖的圖形統計指標；

基于所述圖形統計指標確定每個所述連通子圖的類別標簽，并利用每個主機對應的連通子圖集內類別標簽為DGA標簽的連通子圖構造每個主機對應的字典，以通過所述字典確定待檢測域名是否為DGA域名。

2.根據權利要求1所述的字典生成方法，其特征在于，所述對收集到的域名集中的域名進行分詞之前，還包括：

收集與主機對應的域名集；

對所述域名集中的域名進行信息過濾，以保留所述域名集中的頂級域名和/或二級域名。

3.根據權利要求1所述的字典生成方法，其特征在于，所述以分詞后得到的單詞作為頂點，并根據域名中存在拼接關系的單詞對相應的頂點進行連線，以生成所述域名集對應的連通子圖集，包括：

以分詞后得到的單詞為頂點，根據域名中存在拼接關系的單詞對相應的頂點進行連線，得到初始連通子圖集；

分別剔除所述初始連通子圖集中每個初始連通子圖的頂點度小于預設頂點度閾值的頂點，以得到所述域名集對應的連通子圖集；其中，所述頂點度為頂點的連線數量。

4.根據權利要求1所述的字典生成方法，其特征在于，所述確定所述連通子圖集中每個連通子圖的圖形統計指標，包括：

確定所述連通子圖集中每個連通子圖的平均節點度、最大節點度、環個數、環點比以及頂點之間的平均最短距離中的任意一個或多個圖形統計指標；

其中，所述平均節點度為連通子圖中所有連線的數量與所有頂點的數量之間的比值；所述最大節點度為連通子圖中具有最多連線的頂點的連線數量；所述環個數為連通子圖中閉合回路的數量；所述環點比為連通子圖中閉合回路的數量與頂點的數量的比值。

5.根據權利要求1至4任一項所述的字典生成方法，其特征在于，所述基于所述圖形統計指標確定每個所述連通子圖的類別標簽，并利用類別標簽為DGA標簽的所述連通子圖構造字典，包括：

利用所述連通子圖、所述圖形統計指標以及預設的基于所述圖形統計指標的分類依據，訓練決策樹模型，以確定出每個所述連通子圖的類別標簽；

將所述決策樹模型中類別標簽為DGA標簽的所述連通子圖的頂點抽取出來作為字典內容，以得到所述字典。

6.一種基于字典的域名檢測方法，其特征在于，所述字典為利用權利要求1至5任一項所述方法生成的字典；其中，所述域名檢測方法包括：

獲取待檢測域名；

對所述待檢測域名進行分詞，得到待檢測單詞；

搜索所述字典中是否存在所述待檢測單詞，并基于搜索結果判斷所述待檢測域名是否為DGA域名。

7.根據權利要求6所述的域名檢測方法，其特征在于，所述基于搜索結果判斷所述待檢測域名是否為DGA域名，包括：

若每個所述待檢測單詞均位于所述字典中，則判定所述待檢測域名為DGA域名。

8.根據權利要求6所述的域名檢測方法，其特征在于，所述對所述待檢測域名進行分詞之前，還包括：

對所述待檢測域名進行解析；

若解析失敗，則啟動所述對所述待檢測域名進行分詞的步驟；

若解析成功，則判定所述待檢測域名為非DGA域名，并結束。

9.根據權利要求8所述的域名檢測方法，其特征在于，所述基于搜索結果判斷所述待檢測域名是否為DGA域名，包括：

若所述字典中不存在所述待檢測單詞，則判定所述待檢測域名為非DGA域名；

若所述字典中存在所述待檢測單詞，則判斷所述字典中的域名數量是否大于預設閾值，如果是則判定所述待檢測域名為DGA域名。