[發(fā)明專(zhuān)利]挖掘潛在威脅域名的方法、系統(tǒng)和服務(wù)器

有效

• 申請(qǐng)?zhí)枺?/td>: 202010945102.6
• 申請(qǐng)日: 2020-09-10
• 公開(kāi)（公告）號(hào): CN114257565B
• 公開(kāi)（公告）日: 2023-09-05
• 發(fā)明（設(shè)計(jì)）人: 何振財(cái);李彬;全俊斌;喬雅莉;鄧太良;郝建忠;鐘雪慧;劉崢;余筱蕙;孫際勇
• 申請(qǐng)（專(zhuān)利權(quán)）人: 中國(guó)移動(dòng)通信集團(tuán)廣東有限公司;中國(guó)移動(dòng)通信集團(tuán)有限公司
• 主分類(lèi)號(hào): H04L61/4511
• 分類(lèi)號(hào): H04L61/4511;H04L9/40;G06F16/955
• 代理公司: 北京國(guó)昊天誠(chéng)知識(shí)產(chǎn)權(quán)代理有限公司 11315
• 代理人: 黎雷

1.一種挖掘潛在威脅域名的方法，其特征在于，包括：

基于預(yù)先獲取的第一特征集，獲取第二特征集，其中，所述第一特征集為與潛在威脅域名相關(guān)的特征集，所述第二特征集為所述第一特征集的子集且所述第二特征集包括動(dòng)態(tài)場(chǎng)景特征和靜態(tài)場(chǎng)景特征；

通過(guò)對(duì)所述第二特征集中的特征進(jìn)行關(guān)聯(lián)計(jì)算獲取疑似威脅域名集合；

其中，所述動(dòng)態(tài)場(chǎng)景特征包括：通信特征和關(guān)聯(lián)特征中的至少一種，其中，所述通信特征包括域名生成算法DGA屬性，所述關(guān)聯(lián)特征包括：域名返回碼屬性、域名IP地域?qū)傩院蚒RL返回碼屬性中的至少一種；所述靜態(tài)場(chǎng)景特征包括：行為特征和指紋特征中的至少一種，其中，所述行為特征包括：訪問(wèn)用戶(hù)數(shù)、訪問(wèn)用戶(hù)數(shù)離散度、域名訪問(wèn)的最多URL次數(shù)占比、單用戶(hù)訪問(wèn)URL個(gè)數(shù)以及域名存活時(shí)長(zhǎng)中的至少一種，所述指紋特征包括：終端操作系統(tǒng)屬性和訪問(wèn)載體屬性中的至少一種；其中，所述DGA屬性具體指計(jì)算域名字符隨機(jī)離散程度，即DGA屬性為域名熵值與域名元音占比值的比值，其中熵值指字符隨機(jī)性程度值，域名元音值指域名的元音字母?jìng)€(gè)數(shù)占域名總長(zhǎng)度比值。

2.根據(jù)權(quán)利要求1所述的挖掘方法，其特征在于，所述基于預(yù)先獲取的第一特征集，獲取第二特征集包括：對(duì)預(yù)先獲取的所述第一特征集中的特征數(shù)據(jù)利用隨機(jī)森林算法進(jìn)行訓(xùn)練，以獲取與潛在威脅域名相關(guān)的第二特征集。

3.根據(jù)權(quán)利要求1所述的挖掘方法，其特征在于，在所述基于預(yù)先獲取的第一特征集，獲取第二特征集之前，所述方法還包括：

獲取運(yùn)營(yíng)商側(cè)的數(shù)據(jù)；

基于獲取的所述運(yùn)營(yíng)商側(cè)的數(shù)據(jù)，得到與潛在威脅域名相關(guān)的第一特征集；

其中，所述第一特征集包括：域名IP個(gè)數(shù)、訪問(wèn)用戶(hù)數(shù)、訪問(wèn)次數(shù)、URL個(gè)數(shù)、最大訪問(wèn)用戶(hù)數(shù)、單用戶(hù)平均URL條數(shù)、URL平均用戶(hù)數(shù)、URL平均訪問(wèn)次數(shù)、用戶(hù)數(shù)標(biāo)準(zhǔn)差、訪問(wèn)數(shù)標(biāo)準(zhǔn)差、URL訪問(wèn)數(shù)離散系數(shù)、訪問(wèn)用戶(hù)數(shù)離散度、當(dāng)天單個(gè)用戶(hù)訪問(wèn)域名頻率訪問(wèn)用戶(hù)數(shù)、域名訪問(wèn)的最多URL次數(shù)占比、單用戶(hù)訪問(wèn)URL個(gè)數(shù)、域名存活時(shí)長(zhǎng)、終端操作系統(tǒng)屬性、訪問(wèn)載體屬性、域名返回碼屬性、IP地域?qū)傩浴RL返回碼屬性、DGA屬性中的至少二種。

4.根據(jù)權(quán)利要求1-3任一項(xiàng)所述的挖掘方法，其特征在于，所述通過(guò)對(duì)所述第二特征集中的特征進(jìn)行關(guān)聯(lián)分析獲取疑似威脅域名集合包括：

確定潛在威脅域名特征集合的評(píng)估標(biāo)準(zhǔn)，所述評(píng)估標(biāo)準(zhǔn)包括支持度、置信度中的至少一種；

基于確定的所述評(píng)估標(biāo)準(zhǔn)和Apriori算法，對(duì)所述第二特征集中的特征進(jìn)行關(guān)聯(lián)分析，以確定出疑似威脅域名集合。

5.根據(jù)權(quán)利要求4所述的挖掘方法，其特征在于，所述基于確定的所述評(píng)估標(biāo)準(zhǔn)和Apriori算法，對(duì)所述第二特征集中的特征進(jìn)行關(guān)聯(lián)分析，以確定出疑似威脅域名集合包括：

對(duì)所述第二特征集中的特征的初始有效特征數(shù)據(jù)進(jìn)行數(shù)據(jù)連接；對(duì)連接后得到的候選1項(xiàng)集按照預(yù)設(shè)評(píng)估標(biāo)準(zhǔn)進(jìn)行剪枝處理，以得到頻繁1項(xiàng)集；

對(duì)頻繁1項(xiàng)集中的元素進(jìn)行連接，獲取候選2項(xiàng)集，對(duì)候選2項(xiàng)集中低于預(yù)設(shè)評(píng)估標(biāo)準(zhǔn)的元素進(jìn)行剪枝處理，以得到頻繁2項(xiàng)集；

針對(duì)頻繁K項(xiàng)集，按照以上過(guò)程進(jìn)行迭代，直到無(wú)法找到頻繁K+1項(xiàng)集為止，將得到的頻繁K項(xiàng)集確定為疑似威脅域名集合；其中，K為正整數(shù)，且K≥2。

6.根據(jù)權(quán)利要求1所述的挖掘方法，其特征在于，所述方法還包括：

獲取監(jiān)測(cè)數(shù)據(jù)源中的域名數(shù)據(jù)的動(dòng)靜態(tài)特征；

將獲取的所述域名數(shù)據(jù)的動(dòng)靜態(tài)特征與獲取的所述疑似威脅域名集合進(jìn)行比較，以得到域名檢測(cè)結(jié)果。