[發明專利]域名檢測方法和裝置、設備及存儲介質

在審

• 申請號: 202210290189.7
• 申請日: 2022-03-23
• 公開（公告）號: CN114648069A
• 公開（公告）日: 2022-06-21
• 發明（設計）人: 楊剛;張研;李薛
• 申請（專利權）人: 三六零數字安全科技集團有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08;H04L9/40
• 代理公司: 北京市鼎立東審知識產權代理有限公司 11751
• 代理人: 朱慧娟

本申請涉及一種域名檢測方法和裝置、設備及存儲介質，其中方法包括：獲取待檢測域名；將待檢測域名輸入至預先訓練好的遞歸神經網絡，由遞歸神經網絡提取待檢測域名的特征向量；將特征向量輸入至訓練好的RF模型，由RF模型根據特征向量對待檢測域名進行正常域名或異常域名的檢測。通過引入基于Parallel multi?dimensional LSTM的遞歸神經網絡模型和RF(RandomForest)模型，由這兩種網絡模型的相互配合，實現了能夠基于無監督學習過程充分提取域名分布特性的目的，這也就提升了模型識別能力，并且在進行域名檢測時能夠結合LSTM遞歸神經網絡和RF模型進行域名的檢測判斷，最終有效提高了域名檢測結果的準確度。

技術領域

本申請涉及計算機網絡安全技術領域，尤其涉及一種域名檢測方法和裝置、設備及存儲介質。

背景技術

當前隨著互聯網、物聯網、大數據、云計算和人工智能等技術的迅速發展和應用，在網絡空間產生了越來越巨大的經濟、社會價值，甚至關系到國家安全，網絡攻擊事件越來越頻繁，攻擊技術越來越復雜。網絡攻擊過程中通常需要域名來完成遠程控制或數據竊取等活動，為了逃避安全措施的檢測，典型做法是在軟件中集成惡意域名生成算法DGA(Domain Generation Algorithm)，產生速變域名，因此惡意域名的識別已經成為網絡攻擊行為發現的重要環節。為了解決這一問題，出現了很多惡意域名的檢測方法，這些方法能夠起到一定的篩選作用，但隨著惡意域名生成模式越來越復雜，特征越來越模糊，檢測難度越來越大。在相關技術中，基于機器學習的檢測方式檢測能力依賴于特征向量，特征向量的生成是信息壓縮與篩選過程，當惡意域名生成方式發生變化時，現有的特征向量可能失效，從而影響域名的檢測能力，最終導致域名檢測結果不夠準確。

發明內容

有鑒于此，本申請提出了一種域名檢測方法，可以有效提高域名檢測從結果的準確度。

根據本申請的一方面，提供了一種域名檢測方法，包括：

獲取待檢測域名；

將所述待檢測域名輸入至預先訓練好的遞歸神經網絡，由所述遞歸神經網絡提取所述待檢測域名的特征向量；

將所述特征向量輸入至訓練好的RF模型，由所述RF模型根據所述特征向量對所述待檢測域名進行正常域名或異常域名的檢測。

在一種可能的實現方式中，由所述RF模型根據所述特征向量對所述待檢測域名進行正常域名或異常域名的檢測時，包括：

由所述RF模型對所述特征向量進行檢測，得到相應的檢測結果，并將所述檢測結果與預設的閾值進行比較；

在所述檢測結果小于所述閾值時，確定所述待檢測域名為正常域名；

在所述檢測結果大于或等于所述閾值時，確定所述待檢測域名為異常域名。

在一種可能的實現方式中，在獲取所述待檢測域名之后，還包括對所述待檢測域名進行預處理的操作；

其中，所述預處理包括對所述待檢測域名進行one-hot處理。

在一種可能的實現方式中，還包括對所述遞歸神經網絡進行訓練的步驟；

其中，對所述遞歸神經網絡進行訓練，包括：

獲取第一正常域名樣本集和第一異常域名樣本集；

分別對所述第一正常域名樣本集中的各正常域名樣本和所述第一異常域名樣本集中的各異常域名樣本進行遮擋處理，并將各正常域名樣本和各異常域名樣本中未遮擋部分分別作為輸入數據，依次輸入至遞歸神經網絡模型中，對所述遞歸神經網絡模型進行訓練得到所述遞歸神經網絡。

在一種可能的實現方式中，還包括對所述RF模型進行訓練的步驟；

其中，對RF模型進行訓練時，包括：