[發明專利]一種惡意域名處理方法、裝置、設備及機器可讀存儲介質

有效

• 申請號: 202110480770.0
• 申請日: 2021-04-30
• 公開（公告）號: CN113328994B
• 公開（公告）日: 2022-07-12
• 發明（設計）人: 施瑞瑞;汪加偉
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

本公開提供一種惡意域名處理方法、裝置、設備及機器可讀存儲介質，該方法包括：獲取符合預設要求的訓練樣本，根據預設維度，對訓練樣本提取樣本特征；根據提取的樣本特征，對所述訓練樣本進行樣本聚類，并使用BiLstm訓練生成分類器；使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名；所述預設維度包括：域名長度、聲母占比、數值占比、域名熵值。通過本公開的技術方案，采用拼音聲母作為訓練模型的維度之一，得到的算法模型，可有效降低境內網站的誤報率，同時本公開提供的訓練方法，特征提取簡單、高效，判斷DGA域名準確率高、耗費資源少。

技術領域

本公開涉及通信技術領域，尤其是涉及一種惡意域名處理方法、裝置、設備及機器可讀存儲介質。

背景技術

惡意軟件如今已經發展為威脅網絡安全的頭號公敵，為了逃避安全設施的檢測，其制作過程也越來越復雜，其中一個典型做法是在軟件中集成DGA(Domain GenerationAlgorithm)算法，產生速變域名，該方式作為備用或者主要的與C2服務器通信的手段，可以構造更加魯棒的僵尸網絡，做到對感染肉雞的持續性控制。對應地，針對DGA算法的研究現在也是安全圈討論的熱點話題，學術界和工業界也有大量DGA域名檢測的工作，但是在實際使用中存在誤報過多的現象。

BiLSTM：Bi-directional Long Short-Term Memory的縮寫，是由前向LSTM與后向LSTM組合而成。LSTM：全稱Long Short-Term Memory，是RNN(Recurrent Neural Network)的一種，LSTM由于其設計的特點，非常適合用于對時序數據的建模，如文本數據。

發明內容

有鑒于此，本公開提供一種惡意域名處理方法、裝置及電子設備、機器可讀存儲介質，以改善上述誤報率過高的技術問題。

具體地技術方案如下：

本公開提供了一種惡意域名處理方法，應用于網絡安全設備，所述方法包括：獲取符合預設要求的訓練樣本，根據預設維度，對訓練樣本提取樣本特征；根據提取的樣本特征，對所述訓練樣本進行樣本聚類，并使用BiLstm訓練生成分類器；使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名；所述預設維度包括：域名長度、聲母占比、數值占比、域名熵值。

作為一種技術方案，所述使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名，包括：根據被判斷為DGA域名的待判定域名，提取域名信息進行保存并顯示。

作為一種技術方案，所述使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名，包括：設立白名單，將特定域名納入白名單中；若待判定域名匹配白名單數據，則判定該域名不屬于DGA域名。

作為一種技術方案，所述使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名，包括：根據預設規則，判斷屬于DGA域名的待判定域名是否關聯于惡意攻擊。

本公開同時提供了一種惡意域名處理裝置，應用于網絡安全設備，所述裝置包括：樣本模塊，用于獲取符合預設要求的訓練樣本，根據預設維度，對訓練樣本提取樣本特征；訓練模塊，用于根據提取的樣本特征，對所述訓練樣本進行樣本聚類，并使用BiLstm訓練生成分類器；判定模塊，用于使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名；所述預設維度包括：域名長度、聲母占比、數值占比、域名熵值。

作為一種技術方案，所述使用分類器對根據待判定域名提取的特征進行處理，判斷所述待判定域名是否屬于DGA域名，包括：根據被判斷為DGA域名的待判定域名，提取域名信息進行保存并顯示。