[发明专利]一种Domain flux僵尸网络域名检测方法

权利要求书

1.Domain flux僵尸网络域名检测方法，其特征在于，包括：

按固定时间间隔记录域名的IP解析内容；

按照二级域名及域名解析ip对域名进行分组；

计算分组的域名访问时间的一致性数值。

2.根据权利要求1所描述的Domain flux僵尸网络域名检测方法，其特征在于，按照以下步骤按固定时间间隔记录域名的IP解析内容：

镜像缓存服务器的DNS数据到数据采集机的网卡上，抓取DNS数据。

根据DNS协议解析响应资源记录，将各协议字段内容，按照固定时间间隔保存解析出的资源记录。

3.根据权利要求1所描述的Domain flux僵尸网络域名检测方法，其特征在于，按照如下对域名进行分组：

按域名等级进行分组，将同属于一个域名的各子域名划分到一个集合中；

按照域名所解析出的ip进行分组，将解析ip一致的域名划分到一个集合中。

4.根据权利要求1所描述的Domain flux僵尸网络域名检测方法，其特征在于，按照以下步骤计算域名分组的域名访问时间一致性数值：

对每一域名，计算域名初次解析记录时间与最后解析记录出现时间差值，作为域名活跃持续时间；

将域名集合得到的所有差值，计算每个差值所占百分比，保留最大百分比数值作为此域名集合的访问时间一致性数值。

5.一种针对僵尸网络域名变换技术进行检测的系统，其特征在于，包括：

数据采集引擎，用于采集网口上的DNS原始数据； 

数据解析引擎，用于对采集到的DNS原始数据，按照协议规定进行解析，并按需要的格式保存解析出的DNS资源记录内容；

域名过滤及输出引擎，对域名进行分组，并计算域名分组的域名访问时间一致性数值，按阀值要求输出域名列表。

6.根据权利要求5所述的一种针对僵尸网络域名变换技术进行检测的系统，其特征在于，域名过滤及输出引擎包括：

域名分组单元，用于对所记录域名按父域名及ip进行分组；

一致性计算单元，计算域名访问一致性信息；

域名过滤单元，按照阀值过滤并输出域名；

展示单元，对输出的域名列表，展示其访问信息：访问时间、返回解析内容，次数等。