[发明专利]一种可疑域名检测方法及装置

权利要求书

1.一种可疑域名检测方法，其特征在于，包括：

根据僵尸木马系统检测日志获取活跃僵木IP地址，所述活跃僵木IP地址为在检测期内被作为僵尸网络通信中控制端地址的次数大于第一阈值的IP地址；

根据域名系统DNS日志获取所述检测期内IP地址与域名的对应关系；根据所述IP地址与域名的对应关系，获取对应的域名数量大于第二阈值的IP地址；提取所述IP地址对应的每个域名中的关键域名字符串，计算字符在预定范围中的出现频次，所述预定范围包括所述IP地址对应的所有域名的关键域名字符串；根据所述出现频次，利用聚类算法对所述IP地址进行聚类，得到N个点簇；

根据各个点簇中所包括的活跃僵木点的数量，确定可疑点簇，其中所述活跃僵木点指在点簇中表示所述活跃僵木IP地址的点；

将所述可疑点簇中包括的IP地址确定为可疑域名对应的IP地址。

2.根据权利要求1所述方法，其特征在于，提取所述IP地址对应的每个域名中的关键域名字符串，包括：

提取所述IP地址对应的每个域名中以“.”分隔所得的各个域名段中长度最长的域名段字符串，或者，提取所述IP地址对应的每个域名中去掉域名尾缀后的域名字符串。

3.根据权利要求1所述方法，其特征在于，根据所述出现频次，利用聚类算法对所述IP地址进行聚类，得到N个点簇，具体包括：

对每个IP地址对应的所述字符的出现频次进行归一化处理；

根据所述归一化处理后所述字符的出现频次，利用K-Means聚类算法将所述IP地址分为M个点簇，即聚类算法时取K＝M；

判断所述M个点簇是否满足预定条件，若满足所述预定条件，则所述M个点簇即为所述N个点簇；

若不满足所述预定条件，则利用聚类算法将所述IP地址分为M+1个点簇，再次判断所述M+1个点簇是否满足预定条件；

所述预定条件包括：所述点簇中，所有点的误差的总和小于第一误差阈值，并且每个点簇内所有点的平均误差小于第二误差阈值，并且所述点簇中的活跃僵木点的误差均小于第三误差阈值；其中，所述点的误差为点与该点所属点簇中心的欧式距离。

4.根据权利要求1-3任一项所述方法，其特征在于，所述根据各个点簇中所包括的活跃僵木点的数量，确定可疑点簇，包括：

若所述点簇中包括的活跃僵木点的数量大于预设个数，或者若所述点簇中包括的活跃僵木点所占比例大于预设比例时，确定所述点簇为高度可疑点簇；

所述将所述可疑点簇中的点对应的IP地址确定为可疑域名对应的IP地址，包括：将所述高度可疑点簇中的点对应的IP地址确定为可疑域名对应的IP地址。

5.根据权利要求1-3任一项所述方法，其特征在于，所述方法还包括：

若确定所述点簇中包括有活跃僵木点，且所述活跃僵木点的数量小于或等于预设个数，或者所述活跃僵木点所占比例小于或等于预设比例时，则确定所述点簇为轻度可疑点簇；

确定所述轻度可疑点簇中包括的所有IP地址所对应的域名，获取所述域名在所述检测期内的每个时间周期的解析请求量分布情况；根据所述域名在所述检测期内的解析请求量分布情况，确定所述域名是否具有访问跳变点，以及所述域名在活跃期内的访问量曲线与该域名在非活跃期内的访问量曲线的日间相似度；

若所述轻度可疑点簇内，具有访问跳变点且所述日间相似度低于第三阈值的域名数量超过第四阈值时，确定所述轻度可疑点簇为高度可疑点簇。