[發明專利]域名的異常檢測方法、裝置及設備

在審

• 申請號: 202110483343.8
• 申請日: 2021-04-30
• 公開（公告）號: CN112995218A
• 公開（公告）日: 2021-06-18
• 發明（設計）人: 張闖;楊新安;尚素絹
• 申請（專利權）人: 新華三人工智能科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06F16/906
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 楊春香

本申請提供一種域名的異常檢測方法、裝置及設備，該方法包括：將待檢測域名的特征信息輸入給目標翻譯模型的目標編碼子模型，得到待檢測域名對應的目標狀態向量；將該目標狀態向量輸入給目標翻譯模型的目標解碼子模型，得到目標翻譯域名的特征信息；確定目標翻譯域名的特征信息與待檢測域名的特征信息的損失值；若損失值小于損失閾值，確定待檢測域名是正常域名；若損失值不小于損失閾值，確定待檢測域名是異常域名。通過本申請的技術方案，能夠有效識別出異常域名，對異常域名進行有效攔截，保護受害者的主機。

技術領域

本申請涉及通信領域，尤其是涉及一種域名的異常檢測方法、裝置及設備。

背景技術

隨著網絡技術的不斷發展和承載業務的逐漸增多，網絡已成為人們生活和工作中不可或缺的一部分。與此同時，網絡中的攻擊行為越來越多，各類網絡攻擊活動日益猖獗，如端口掃描攻擊、蠕蟲病毒攻擊、DDoS（Distributed Denial of Service，分布式拒絕服務）攻擊、域名攻擊等，這些攻擊行為導致網絡性能下降，干擾正常的網絡行為，甚至引起網絡中斷或者癱瘓。因此，需要及時檢測到網絡中的異常流量（即攻擊行為產生的流量），對異常流量進行控制。

域名攻擊是一種常見的攻擊行為，攻擊者可以將域名（即異常域名）添加到惡意程序，該域名用于將訪問請求連接至攻擊服務器，并將惡意程序發送給受害者的主機，這樣，受害者的主機在訪問惡意程序中的域名時，就會連接至攻擊服務器，導致攻擊服務器操控受害者的主機，即主機被攻擊者操控。

尤其是，攻擊者會使用DGA（Domain Generation Algorithm，域名生成算法）來隨機生成域名，針對使用DGA生成的域名，很難識別出這個域名是異常域名，也就無法對這個域名進行有效攔截，導致無法保護受害者的主機。

發明內容

本申請提供一種域名的異常檢測方法，所述方法包括：

將待檢測域名的特征信息輸入給目標翻譯模型的目標編碼子模型，得到所述待檢測域名對應的目標狀態向量；將所述目標狀態向量輸入給目標翻譯模型的目標解碼子模型，得到目標翻譯域名的特征信息；其中，所述目標翻譯模型是基于訓練數據集訓練得到，且所述訓練數據集包括的均是正常樣本域名；

確定所述目標翻譯域名的特征信息與待檢測域名的特征信息的損失值；

若所述損失值小于損失閾值，則確定所述待檢測域名是正常域名；

若所述損失值不小于所述損失閾值，則確定所述待檢測域名是異常域名。

在一種可能的實施方式中，將待檢測域名的特征信息輸入給目標翻譯模型的目標編碼子模型之前，目標翻譯模型的訓練過程，包括：

獲取訓練數據集，所述訓練數據集包括多個正常樣本域名；

將所述訓練數據集中的正常樣本域名的特征信息輸入給初始翻譯模型的初始編碼子模型，得到所述正常樣本域名對應的初始狀態向量；將所述初始狀態向量輸入給初始翻譯模型的初始解碼子模型，得到初始翻譯域名的特征信息；

基于所述初始翻譯域名的特征信息與所述正常樣本域名的特征信息的損失值，對所述初始翻譯模型進行訓練，得到訓練后的目標翻譯模型；其中，所述目標翻譯模型包括對初始編碼子模型的網絡參數進行調整后的目標編碼子模型，及對初始解碼子模型的網絡參數進行調整后的目標解碼子模型。

示例性的，所述訓練數據集中的正常樣本域名的獲取過程，包括：

獲取目標域名集合中的全部域名或部分域名，將獲取的域名確定為正常樣本域名；其中，所述目標域名集合包括多個正常域名；或者，

獲取URL訪問日志中的域名，將獲取的域名確定為正常樣本域名。

在一種可能的實施方式中，所述基于所述初始翻譯域名的特征信息與所述正常樣本域名的特征信息的損失值，對所述初始翻譯模型進行訓練，得到訓練后的目標翻譯模型，包括：確定所述初始翻譯模型是否已收斂；