[發明專利]一種域名檢測方法、裝置和存儲介質

在審

• 申請號: 202010117116.9
• 申請日: 2020-02-25
• 公開（公告）號: CN113381963A
• 公開（公告）日: 2021-09-10
• 發明（設計）人: 陳揚;雷昕;閆凡
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 王軍紅;張穎玲

1.一種域名檢測方法，其特征在于，所述方法包括：

獲取域名系統DNS數據，從所述DNS數據中提取域名訪問序列；所述域名訪問序列包括至少一個域名；

運用預設的數據處理模型識別所述至少一個域名，得到所述至少一個域名中各域名對應的向量；

根據所述各域名對應的向量，將各域名與預設的高級可持續威脅攻擊APT相似域名庫中各種子域名進行比較，根據比較結果從所述至少一個域名中確定符合相似度要求的第一目標域名；

根據所述第一目標域名更新所述APT相似域名庫。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：生成所述預設的數據處理模型；

所述生成所述預設的數據處理模型，包括：

獲取至少一個訓練域名訪問序列；

根據所述至少一個訓練域名訪問序列訓練word2vec模型，得到訓練后的word2vec模型作為所述預設的數據處理模型。

3.根據權利要求1所述的方法，其特征在于，所述運用預設的數據處理模型識別所述至少一個域名，得到所述至少一個域名中各域名對應的向量，包括：

對所述域名訪問序列進行切分，得到所述域名訪問序列包括的至少一個域名；

運用所述預設的數據處理模塊識別所述至少一個域名中各域名，得到各域名對應的向量。

4.根據權利要求1所述的方法，其特征在于，所述根據所述各域名對應的向量，將各域名與預設的高級可持續威脅攻擊APT相似域名庫中各種子域名進行比較，包括：

確定所述預設的APT相似域名庫中各種子域名對應的向量；

將所述各域名對應的向量與所述各種子域名對應的向量進行相似度計算，確定所述各域名對應的向量與所述各種子域名對應的向量的相似度。

5.根據權利要求1所述的方法，其特征在于，所述根據所述第一目標域名更新所述APT相似域名庫，包括：

從所述第一目標域名中確定滿足以下至少之一條件的域名：

確定與任一所述種子域名為同型近義的域名；

確定稀有度超過第一預設閾值的域名；

確定隨機性超過第二預設閾值的域名；

確定命中開源情報的域名；

以及，根據確定的滿足條件的域名更新所述APT相似域名庫。

6.一種域名檢測裝置，其特征在于，所述裝置包括：第一處理模塊、第二處理模塊、第三處理模塊和第四處理模塊；其中，

所述第一處理模塊，用于獲取域名系統DNS數據，從所述DNS數據中提取域名訪問序列；所述域名訪問序列包括至少一個域名；

所述第二處理模塊，用于運用預設的數據處理模型識別所述至少一個域名，得到所述至少一個域名中各域名對應的向量；

所述第三處理模塊，用于根據所述各域名對應的向量，將各域名與預設的高級可持續威脅攻擊APT相似域名庫中各種子域名進行比較，根據比較結果從所述至少一個域名中確定符合相似度要求的第一目標域名；

所述第四處理模塊，用于根據所述第一目標域名更新所述APT相似域名庫。

7.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：預處理模塊，用于獲取至少一個訓練域名訪問序列；

根據所述至少一個訓練域名訪問序列訓練word2vec模型，得到訓練后的word2vec模型作為所述預設的數據處理模型。

8.根據權利要求6所述的裝置，其特征在于，所述第二處理模塊，用于對所述域名訪問序列進行切分，得到所述域名訪問序列包括的至少一個域名；

運用所述預設的數據處理模塊識別所述至少一個域名中各域名，得到各域名對應的向量。

9.根據權利要求6所述的裝置，其特征在于，所述第三處理模塊，用于確定所述預設的APT相似域名庫中各種子域名對應的向量；

將所述各域名對應的向量與所述各種子域名對應的向量進行相似度計算，確定所述各域名對應的向量與所述各種子域名對應的向量的相似度。