[发明专利]仿冒域名检测方法、装置、电子设备及存储介质

权利要求书

1.一种仿冒域名检测方法，其特征在于，包括：

获取待检测域名；

使用布隆过滤器判断所述待检测域名是否存在于仿冒域名集中，其中所述仿冒域名集是根据仿冒域名的生成模式在域名白名单的基础上生成得到；

若所述待检测域名存在于仿冒域名集中，则判定所述待检测域名为仿冒域名；

其中，所述若所述待检测域名存在于仿冒域名集中，则判定所述待检测域名为仿冒域名之后，包括：

获取所述待检测域名的生成特点；其中在所述仿冒域名集中，对每个生成的仿冒域名同时记录其生成特点，该生成特点作为标签附在每个生成的仿冒域名上，通过获取与所述待检测域名相同的仿冒域名的标签得到所述待检测域名的生成特点；

将所述待检测域名的生成特点与APT组织的仿冒域名生成偏好进行比对，找出相符合的APT组织；

判定所述待检测域名归属于所述相符合的APT组织，将溯源结果生成威胁情报告知用户。

2.根据权利要求1所述的仿冒域名检测方法，其特征在于，所述仿冒域名的生成模式是将仿冒域名与仿冒原型域名进行对照，总结仿冒域名的生成方式得出，所述仿冒域名的生成模式包括：字符替换、字符重复、字符缺失、插入随机字符、替换后缀、词义伪装或复合模式。

3.根据权利要求1所述的仿冒域名检测方法，其特征在于，所述仿冒域名生成偏好包括：某一字符替换为特定字符、特定字符重复、删除特定字符、插入特定字符、替换特定后缀或增加特定词语。

4.根据权利要求1所述的仿冒域名检测方法，其特征在于，如果某APT组织使用具有某一生成特点的仿冒域名生成模式超过预设阈值，则将所述具有某一生成特点的仿冒域名生成模式作为所述APT组织的仿冒域名生成偏好；

和/或，如果具有某一生成特点的仿冒域名生成模式只有一个APT组织使用过，则将所述具有某一生成特点的仿冒域名生成模式作为所述APT组织的仿冒域名生成偏好。

5.一种仿冒域名检测装置，其特征在于，包括：

第一获取模块，用于获取待检测域名；

判断模块，用于使用布隆过滤器判断所述待检测域名是否存在于仿冒域名集中，其中所述仿冒域名集是根据仿冒域名的生成模式在域名白名单的基础上生成得到；

第一认定模块，用于若所述待检测域名存在于仿冒域名集中，则判定所述待检测域名为仿冒域名；

其中，所述仿冒域名检测装置还包括：

第二获取模块，用于获取所述待检测域名的生成特点；其中在所述仿冒域名集中，对每个生成的仿冒域名同时记录其生成特点，该生成特点作为标签附在每个生成的仿冒域名上，通过获取与所述待检测域名相同的仿冒域名的标签得到所述待检测域名的生成特点；

比对查找模块，用于将所述待检测域名的生成特点与APT组织的仿冒域名生成偏好进行比对，找出相符合的APT组织；

第二认定模块，用于判定所述待检测域名归属于所述相符合的APT组织，将溯源结果生成威胁情报告知用户。

6.根据权利要求5所述的仿冒域名检测装置，其特征在于，所述仿冒域名的生成模式是将仿冒域名与仿冒原型域名进行对照，总结仿冒域名的生成方式得出，所述仿冒域名的生成模式包括：字符替换、字符重复、字符缺失、插入随机字符、替换后缀、词义伪装或复合模式。

7.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行上述权利要求1-4任一所述的方法。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现上述权利要求1-4任一所述的方法。