[发明专利]一种自动生成的域名的检测方法及系统

说明书

本发明公开了一种自动生成的域名的检测方法及系统。本方法为：1)建立一正常域名样；对于每一样本域名：统计该样本域名的各层域名的长度分布，计算各层域名的长度异常度；统计该样本域名的各层域名内字符间的跳转概率，计算对应层域名的字符跳转异常度；统计并计算该样本域名中各字符在各层域名中的熵异常度值，并计算各层域名中的字符熵异常度；根据上述计算结果计算得到该样本域名的总异常度；2)根据所有样本域名的总异常度设定一异常度阈值；3)检测模块计算待检测域名的总异常度，如果该值大于设定异常度阈值，则认为该待检测域名为自动生成的域名。本发明训练和检测过程更加简单快捷，能够满足在线检测的需要。

技术领域

本发明属于网络安全检测领域，具体涉及到一种通过算法自动生成的域名的检测方法及系统。

背景技术

域名通常为人为制定，且一个站点的对应的域名通常不做频繁改动。而算法自动生成的域名是指通过计算机根据域名生成算法，并结合当前时间自动产生的。当前，部分攻击者采用了算法自动生成域名技术来提高僵尸网络或者fast flux网络的生存性。由于新域名随机生成，且可每天变换，因而传统的黑名单机制无法防御，大大增加了检测与处置的难度。

当前对算法自动生成的检测方法主要通过机器学习的策略进行，通过训练出来的检测模型进行检测。该方法的不足在于需要有足够多，且需要各类生成算法的恶意域名样本(即，算法自动生成的域名样本)。该类样本不易获得，且不易覆盖各类生成情况。

发明内容

针对现有技术中存在的技术问题，本发明的目的在于提供一种算法自动生成域名的检测方法，本发明只需要正常域名作为样本，样本较易获得。与已有的基于机器学习的方法相比，训练和检测过程更加简单快捷，能够满足在线检测的需要。

本发明的技术方案为：

一种自动生成的域名的检测方法，其步骤为：

1)建立一样本集合，其中，样本集合中的样本域名均为正常域名；对于样本集合中的每一样本域名：

11)层域名长度异常训练子模块统计该样本域名的各层域名的长度分布，然后根据所述异常分布计算各层域名的长度异常度；

12)字符跳转异常训练子模块统计该样本域名的各层域名内字符间的跳转概率，然后根据所述跳转概率计算对应层域名的字符跳转异常度；

13)熵异常训练子模块统计并计算该样本域名中各字符在各层域名中的熵异常度值，并计算各层域名中的字符熵异常度；

14)域名异常度综合训练子模块根据上述计算得到的长度异常度、字符跳转异常度和字符熵异常度计算得到该样本域名的总异常度；

2)域名异常度综合训练子模块根据所有样本域名的总异常度设定一异常度阈值；

3)检测模块计算待检测域名的总异常度，如果该值大于设定异常度阈值，则认为该待检测域名为自动生成的域名。

进一步的，所述层域名熵异常度的计算方法：设第j层域名的熵异常度为D_entropy，则其中，M为该样本域名第j层域名中的不同字符数，p_i为字符i的统计概率。

进一步的，所述字符跳转异常度的计算方法为：设第j层域名的字符跳转异常度为D_bigram，则其中，N是指该样本域名第j层域名中的字符数量，第k个字符对的跳转异常度MAX_Cnt是第j层域名中所有字符的跳转次数最大值，Cnt_ij是第j层域名中第k个字符对从第i个字符到第j字符的跳转次数。

进一步的，长度为i的层域名长度异常度Cnt_i为该样本域名中长度为i的层域名的数量，相同长度的层域名的数量最大值为Cnt_MAX。