[发明专利]一种基于深度学习的恶意域名检测方法及装置

权利要求书

1.一种基于深度学习的恶意域名检测方法，其特征在于，包括：

获取域名训练样本集；

获取所述域名训练样本集中每个域名的第一弱相关特征；

利用所述域名训练样本集以及所述域名训练样本集中每个域名的第一弱相关特征进行基于深度学习的恶意域名检测训练，生成恶意域名检测模型；

通过所述恶意域名检测模型检测未知域名是否是恶意域名；

所述利用所述域名训练样本集以及所述域名训练样本集中每个域名的弱相关特征进行基于深度学习的恶意域名检测训练，生成恶意域名检测模型具体包括：

通过至少一种前馈神经网络模型，采用所述域名训练样本集以及所述域名训练样本集中每个域名的所述第一弱相关特征进行模型训练，生成至少两种恶意域名检测模型；

当生成了两个或两个以上恶意域名检测模型时，获取域名测试样本集；

获取所述域名测试样本集中每个域名的第二弱相关特征；

利用所述域名测试样本集以及所述域名测试样本集中每个域名的第二弱相关特征，分别对生成的两个或两个以上恶意域名检测模型进行测试；

分别统计对生成的两个或两个以上恶意域名检测模型的测试结果，所述测试结果包括准确率和召回率；

根据所述测试结果，确定两个或两个以上恶意域名检测模型中的最优恶意域名检测模型；

相应地，所述通过所述恶意域名检测模型检测未知域名是否是恶意域名具体为：

通过所述最优恶意域名检测模型检测未知域名是否是恶意域名。

2.根据权利要求1所述的基于深度学习的恶意域名检测方法，其特征在于，所述获取所述域名训练样本集中每个域名的第一弱相关特征具体包括：

通过DNS查询，获取所述域名训练样本集中每个域名的A记录、AAAA记录、MX记录和NS记录；

通过WHOIS查询，获取所述域名训练样本集中每个域名的域名注册时间、域名注册人、域名注册邮箱和域名注册机构；

通过WEB请求工具，获取所述域名训练样本集中每个域名的域名排名信息、域名的搜索引擎收录数量、域名对应WEB首页、域名对应WEB HTTPS证书信息、域名对应IP地理位置和域名IP解析历史。

3.根据权利要求2所述的基于深度学习的恶意域名检测方法，其特征在于，所述获取所述域名训练样本集中每个域名的第一弱相关特征之后，所述利用所述域名训练样本集以及所述域名训练样本集中每个域名的第一弱相关特征进行基于深度学习的恶意域名检测训练，生成恶意域名检测模型之前还包括：

对所述域名训练样本集中每个域名的所述第一弱相关特征进行归一化处理，将所述域名训练样本集中每个域名的所述第一弱相关特征转换为[0,1)范围的浮点数。

4.根据权利要求1所述的基于深度学习的恶意域名检测方法，其特征在于，所述域名训练样本集中包括正样本集和负样本集；

所述正样本集中的域名为正常域名，所述负样本集中的域名为恶意域名。