[發明專利]域名的異常檢測方法、裝置及設備

在審

• 申請號: 202110483343.8
• 申請日: 2021-04-30
• 公開（公告）號: CN112995218A
• 公開（公告）日: 2021-06-18
• 發明（設計）人: 張闖;楊新安;尚素絹
• 申請（專利權）人: 新華三人工智能科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06F16/906
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 楊春香

1.一種域名的異常檢測方法，其特征在于，所述方法包括：

將待檢測域名的特征信息輸入給目標翻譯模型的目標編碼子模型，得到所述待檢測域名對應的目標狀態向量；將所述目標狀態向量輸入給目標翻譯模型的目標解碼子模型，得到目標翻譯域名的特征信息；其中，所述目標翻譯模型是基于訓練數據集訓練得到，且所述訓練數據集包括的均是正常樣本域名；

確定所述目標翻譯域名的特征信息與待檢測域名的特征信息的損失值；

若所述損失值小于損失閾值，則確定所述待檢測域名是正常域名；

若所述損失值不小于所述損失閾值，則確定所述待檢測域名是異常域名。

2.根據權利要求1所述的方法，其特征在于，將待檢測域名的特征信息輸入給目標翻譯模型的目標編碼子模型之前，目標翻譯模型的訓練過程，包括：

獲取訓練數據集，所述訓練數據集包括多個正常樣本域名；

將所述訓練數據集中的正常樣本域名的特征信息輸入給初始翻譯模型的初始編碼子模型，得到所述正常樣本域名對應的初始狀態向量；將所述初始狀態向量輸入給初始翻譯模型的初始解碼子模型，得到初始翻譯域名的特征信息；

基于所述初始翻譯域名的特征信息與所述正常樣本域名的特征信息的損失值，對所述初始翻譯模型進行訓練，得到訓練后的目標翻譯模型；其中，所述目標翻譯模型包括對初始編碼子模型的網絡參數進行調整后的目標編碼子模型，及對初始解碼子模型的網絡參數進行調整后的目標解碼子模型。

3.根據權利要求2所述的方法，其特征在于，

所述訓練數據集中的正常樣本域名的獲取過程，包括：

獲取目標域名集合中的全部域名或部分域名，將獲取的域名確定為正常樣本域名；其中，所述目標域名集合包括多個正常域名；或者，

獲取URL訪問日志中的域名，將獲取的域名確定為正常樣本域名。

4.根據權利要求2所述的方法，其特征在于，

所述基于所述初始翻譯域名的特征信息與所述正常樣本域名的特征信息的損失值，對所述初始翻譯模型進行訓練，得到訓練后的目標翻譯模型，包括：

確定所述初始翻譯模型是否已收斂；

如果否，則基于所述損失值對初始編碼子模型的網絡參數進行調整，并對初始解碼子模型的網絡參數進行調整，得到調整后的翻譯模型；將調整后的翻譯模型確定為初始翻譯模型，返回執行將所述訓練數據集中的正常樣本域名的特征信息輸入給初始翻譯模型的初始編碼子模型的操作；

如果是，則將所述初始翻譯模型確定為訓練后的目標翻譯模型。

5.根據權利要求1所述的方法，其特征在于，將待檢測域名的特征信息輸入給目標翻譯模型的目標編碼子模型之前，損失閾值獲取過程，包括：

獲取驗證數據集，所述驗證數據集包括至少一個正常驗證域名；

將所述驗證數據集中的正常驗證域名的特征信息輸入給目標翻譯模型的目標編碼子模型，得到所述正常驗證域名對應的驗證狀態向量；將所述驗證狀態向量輸入給目標翻譯模型的目標解碼子模型，得到驗證翻譯域名的特征信息；

確定所述驗證翻譯域名的特征信息與正常驗證域名的特征信息的損失值；

基于所述驗證數據集中的所有正常驗證域名對應的損失值確定損失閾值。

6.根據權利要求1-5任一項所述的方法，其特征在于，

所述目標翻譯模型包括seq2seq模型；

所述目標翻譯模型的目標編碼子模型包括至少一個LSTM模型，或者，至少一個GRU模型，或者，至少一個LSTM模型和至少一個GRU模型；

所述目標翻譯模型的目標解碼子模型包括至少一個LSTM模型，或者，至少一個GRU模型，或者，至少一個LSTM模型和至少一個GRU模型。

7.根據權利要求1-5任一項所述的方法，其特征在于，

所述確定所述待檢測域名是異常域名之后，所述方法還包括：

將所述待檢測域名添加到域名黑名單，所述域名黑名單用于記錄異常域名，且所述域名黑名單中的異常域名包括基于域名生成算法DGA生成的異常域名；

基于所述域名黑名單對所述待檢測域名的請求進行攔截。