[發明專利]DGA域名檢測模型訓練方法、DGA域名檢測方法、裝置及存儲介質

在審

• 申請號: 202011288625.4
• 申請日: 2020-11-17
• 公開（公告）號: CN112492059A
• 公開（公告）日: 2021-03-12
• 發明（設計）人: 馬莉雅;雷君;龍泉;何能強;李鵬超;金紅;陳曉光;楊滿智;蔡琳;尚程;王利麗
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心;恒安嘉新（北京）科技股份公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;G06N3/04;G06N3/08
• 代理公司: 北京中原華和知識產權代理有限責任公司 11019
• 代理人: 孫磊;壽寧

1.一種DGA域名檢測模型訓練方法，其特征在于，所述方法包括以下步驟：

步驟S1，獲取多個域名樣本的域名信息；

步驟S2，對于所述多個域名樣本中的DGA域名和非DGA域名，分別根據所述域名信息中的至少一部分信息來訓練用于特征提取的循環神經網絡；并且，計算所述DGA域名對應的所述循環神經網絡的輸出與所述非DGA域名對應的所述循環神經網絡的輸出的比值，作為所述域名信息中的至少一部分信息的特征；

步驟S3，將所述特征輸入到一個分類器中進行訓練，以得到DGA域名分類器，用以利用所述DGA域名分類器判斷一個域名是否來自于域名生成算法。

2.根據權利要求1所述的DGA域名檢測模型訓練方法，其特征在于：所述步驟S2中的與所述DGA域名對應的所述循環神經網絡的輸出和與所述非DGA域名對應的所述循環神經網絡的輸出均為似然函數p(x|θ)的擬合；其中，所述x是所述域名信息中的至少一部分信息，所述θ是所述循環神經網絡的參數，所述p(x|θ)表示給定所述θ后所述x的概率。

3.根據權利要求2所述的DGA域名檢測模型訓練方法，其特征在于：

所述域名信息包括域名的字符串；

所述步驟S2中的所述對于多個所述域名樣本中的DGA域名和非DGA域名，分別根據所述域名信息中的至少一部分信息來訓練用于特征提取的循環神經網絡包括：

對于所述DGA域名、所述非DGA域名中的一個或多個，采用字符級的循環神經網絡進行特征提取，采用字符級交叉熵作為損失函數進行反向傳播。

4.根據權利要求3所述的DGA域名檢測模型訓練方法，其特征在于：

所述采用字符級的循環神經網絡進行特征提取包括：除最后一個時間節拍之外，所述循環神經網絡的每個時間節拍的輸出是下一位字符出現的概率；所述循環神經網絡的最后一個時間節拍的輸出是所述似然函數的擬合，用于表示所述域名的字符串是DGA或非DGA的概率；

所述采用字符級交叉熵作為損失函數進行反向傳播包括：所述循環神經網絡在每個時間節拍都進行損失函數反向傳播，具體包括在每個時間節拍計算循環單元的輸出與所述域名的字符串中的下一個節拍的真值之間的交叉熵并進行反向傳播。

5.根據權利要求4所述的DGA域名檢測模型訓練方法，其特征在于：

所述DGA域名對應的所述循環神經網絡的輸出或所述非DGA域名對應的所述循環神經網絡的輸出為：

其中所述x是所述域名信息中的所述至少一部分信息的字符串，所述x_i是所述字符串中第i個字符，所述θ是循環神經網絡的參數。

6.根據權利要求3所述的DGA域名檢測模型訓練方法，其特征在于，

在所述步驟S2之前，所述方法還包括：將所述域名的字符串中的每個字符采用獨熱方式進行編碼；

所述步驟S2中的根據所述域名信息中的至少一部分信息來訓練用于特征提取的循環神經網絡包括：根據獨熱編碼后的所述域名的字符串，來訓練所述循環神經網絡。

7.根據權利要求2所述的DGA域名檢測模型訓練方法，其特征在于，

所述步驟S1具體包括：獲取所述域名樣本的主域名和子域名；

所述步驟S2具體包括：對于所述主域名和所述子域名，分別訓練與所述DGA域名對應的所述循環神經網絡、和與所述非DGA域名對應的所述循環神經網絡，并分別確定與所述主域名對應的所述比值、和與所述子域名對應的所述比值，分別作為所述主域名的特征和所述子域名的特征；

所述步驟S3具體包括：將所述主域名的特征和所述子域名的特征輸入到一個分類器中進行訓練。