[發(fā)明專利]一種確定不良域名的方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010179120.8
• 申請日: 2020-03-13
• 公開（公告）號: CN113395246B
• 公開（公告）日: 2022-04-26
• 發(fā)明（設計）人: 劉冰;楊學;楊琪;馬永征
• 申請（專利權(quán)）人: 中國互聯(lián)網(wǎng)絡信息中心
• 主分類號: H04L41/0873
• 分類號: H04L41/0873
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司 11227
• 代理人: 古利蘭

1.一種確定不良域名的方法，其特征在于，所述方法包括：

解析預先采集的域名系統(tǒng)協(xié)議DNS數(shù)據(jù)，得到域名數(shù)據(jù)與IP數(shù)據(jù)之間的第一關(guān)聯(lián)數(shù)據(jù)，以及得到自治系統(tǒng)號ASN數(shù)據(jù)與所述IP數(shù)據(jù)之間的第二關(guān)聯(lián)數(shù)據(jù)；

根據(jù)所述第一關(guān)聯(lián)數(shù)據(jù)和所述第二關(guān)聯(lián)數(shù)據(jù)，構(gòu)建域名解析圖，所述域名解析圖至少包含域名節(jié)點、IP節(jié)點和由域名與IP的對應關(guān)系構(gòu)建的域名解析邊；

利用所述ASN數(shù)據(jù)和所述域名解析圖，構(gòu)建域名關(guān)系圖；

篩選所述域名解析圖和所述域名關(guān)系圖，確定包含多個不良域名的種子集；

利用包含多個不良域名的種子集，計算所述域名關(guān)系圖中每個域名節(jié)點的惡意得分，確定惡意得分大于得分閾值的域名節(jié)點對應的域名為不良域名。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)所述第一關(guān)聯(lián)數(shù)據(jù)和所述第二關(guān)聯(lián)數(shù)據(jù)，構(gòu)建域名解析圖，包括：

關(guān)聯(lián)所述第一關(guān)聯(lián)數(shù)據(jù)和第二關(guān)聯(lián)數(shù)據(jù)，得到所述域名數(shù)據(jù)、所述IP數(shù)據(jù)和所述ASN數(shù)據(jù)之間的第三關(guān)聯(lián)數(shù)據(jù)；

利用所述第三關(guān)聯(lián)數(shù)據(jù)，構(gòu)建至少包含域名節(jié)點、IP節(jié)點和域名解析邊的第一域名解析圖；

針對所述第一域名解析圖中的每一個IP節(jié)點，計算與所述IP節(jié)點相連的域名解析邊的連接數(shù)量；

將所述第一域名解析圖中所述連接數(shù)量大于第一數(shù)量閾值的IP節(jié)點刪除，得到第二域名解析圖。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述利用所述ASN數(shù)據(jù)和所述域名解析圖，構(gòu)建域名關(guān)系圖，包括：

遍歷所述域名解析圖中的所有域名節(jié)點，計算任意兩個具有相同ASN的域名節(jié)點之間的權(quán)重；

利用計算得到的權(quán)重和與權(quán)重對應的域名節(jié)點，構(gòu)建域名關(guān)系圖。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述篩選所述域名解析圖和所述域名關(guān)系圖，確定包含多個不良域名的種子集，包括：

針對所述域名關(guān)系圖中的每一個域名節(jié)點，若所述域名節(jié)點對應的域名在預設的黑名單中，確定所述域名節(jié)點對應的域名為構(gòu)建種子集的不良域名；

針對所述域名解析圖中的每一個域名節(jié)點，若與所述域名節(jié)點相連的域名解析邊的數(shù)量大于第二數(shù)量閾值，確定所述域名節(jié)點對應的域名為構(gòu)建所述種子集的不良域名。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述計算所述域名關(guān)系圖中每個域名節(jié)點的惡意得分的過程，包括：

遍歷所述域名關(guān)系圖，獲取構(gòu)成所述域名關(guān)系圖的多個連通圖；

確定所有所述連通圖中與所述種子集有交集的待計算連通圖；

針對所述待計算連通圖中的每一個第一域名節(jié)點，構(gòu)建所述第一域名節(jié)點與所述種子集的無向加權(quán)圖；

根據(jù)所述域名關(guān)系圖和所述無向加權(quán)圖，計算所述第一域名節(jié)點到所述種子集中每個不良域名的加權(quán)最短路徑對應的權(quán)重；

利用所述第一域名節(jié)點到所述種子集中每個不良域名的加權(quán)最短路徑對應的權(quán)重，計算所述第一域名節(jié)點的惡意得分。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，還包括：

若第二域名節(jié)點未在所述連通圖中，確定所述域名關(guān)系圖中與所述種子集中每個不良域名關(guān)聯(lián)的邊；

基于所述域名關(guān)系圖中與所述種子集中每個不良域名關(guān)聯(lián)的邊，獲取所述種子集中與所述第二域名節(jié)點關(guān)聯(lián)的不良域名對應的邊的權(quán)重；

利用所述種子集中與所述第二域名節(jié)點關(guān)聯(lián)的不良域名對應的邊的權(quán)重，計算所述第二域名節(jié)點的惡意得分；

若所述第二域名節(jié)點的惡意得分大于得分閾值，確定所述第二域名節(jié)點對應的域名為不良域名。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述解析預先采集的域名系統(tǒng)協(xié)議DNS數(shù)據(jù)，得到域名數(shù)據(jù)與IP數(shù)據(jù)之間的第一關(guān)聯(lián)數(shù)據(jù)，以及得到自治系統(tǒng)號ASN數(shù)據(jù)與所述IP數(shù)據(jù)之間的第二關(guān)聯(lián)數(shù)據(jù)，包括：

解析預先采集的域名系統(tǒng)協(xié)議DNS數(shù)據(jù)，得到解析數(shù)據(jù)；

過濾所述解析數(shù)據(jù)中的異常數(shù)據(jù)，得到域名數(shù)據(jù)與IP數(shù)據(jù)之間的第一關(guān)聯(lián)數(shù)據(jù)，以及得到自治系統(tǒng)號ASN數(shù)據(jù)與所述IP數(shù)據(jù)之間的第二關(guān)聯(lián)數(shù)據(jù)。