[发明专利]一种僵尸网络中的攻击域名的确定方法及装置

权利要求书

1.一种僵尸网络中的攻击域名的确定方法，其特征在于，包括:

获取N个主机分别通过各自的网络协议IP地址请求访问的域名，N为正整数；

将所述N个主机请求访问的域名进行聚类，得到至少一个聚类集合，一个聚类集合包括多个域名，一个聚类集合中的域名之间的关联度满足预设条件；

确定每个聚类集合分别对应的攻击域名家族，一个攻击域名家族包括多个具有相同域名特征的域名；

所述将所述N个主机请求访问的域名进行聚类，得到至少一个聚类集合，包括：

步骤A1：重复执行以下步骤B1至步骤B2，得到L个临时聚类集合，一个临时聚类集合内的域名的域名特征相同，i取遍1至K，所述K为所述N个主机请求访问的域名的总个数：

步骤B1：针对所述N个主机请求访问的域名中的第i域名，确定与所述第i域名之间的关联度最大的第j域名；

步骤B2：将所述第i域名划分到所述第j域名所在的聚类集合，j为不大于K的正整数；

步骤A2：若所述步骤A1得到一个临时聚类集合时，则确定所述临时聚类集合为得到的所述至少一个聚类集合；

步骤A3：若所述步骤A1得到至少两个临时聚类集合时，则重复执行以下步骤C1至步骤C2，得到所述至少一个聚类集合，一个聚类集合内的域名属于一个攻击域名家族，p取遍1至L：

步骤C1：针对所述L个临时聚类集合中的第p临时聚类集合，确定与所述第p临时聚类集合之间的关联度最大的第q临时聚类集合；

步骤C2：若所述第p临时聚类集合与所述第q临时聚类集合之间满足聚类条件，则将所述第p临时聚类集合划分到所述第q临时聚类集合，q为不大于L的正整数。

2.如权利要求1所述的方法，其特征在于，确定每个聚类集合分别对应的攻击域名家族，包括：

针对一个聚类集合，确定所述聚类集合中的域名的域名特征，若所述聚类集合中的域名的域名特征与攻击域名家族集合中的第一攻击域名家族的域名特征相同，则确定所述聚类集合对应的攻击域名家族为第一攻击域名家族；若所述聚类集合中的域名的域名特征与所述攻击域名家族集合中的所有攻击域名家族的域名特征均不同，则根据所述聚类集合中的域名的域名特征确定所述聚类集合对应的攻击域名家族，所述攻击域名家族集合包括至少一个攻击域名家族，一个攻击域名家族对应一个域名特征。

3.如权利要求1所述的方法，其特征在于，所述聚类条件为所述第p临时聚类集合与所述第q临时聚类集合之间的凝聚度ΔQ＞0，其中，所述凝聚度通过以下方式确定：

确定所述第p临时聚类集合与所述第q临时聚类集合之间的关联度K_pq；

确定所述第q临时聚类集合内的每一个域名与所述第q临时聚类集合内的其他域名之间的关联度的总和∑tot；

确定所述第q临时聚类集合与其他临时聚类集合之间的关联度的总和K_q；

确定所述N个主机请求访问的域名中的每一个域名与所述N个主机请求访问的域名中的其他域名之间的关联度的总和m；

计算所述

4.如权利要求1-3任一项所述的方法，其特征在于，在所述获取N个主机分别通过各自的网络协议IP地址请求访问的域名之后，在将所述N个主机请求访问的域名进行聚类，得到至少一个聚类集合之前，还包括：

过滤所述N个主机请求访问的域名中的白名单域名和/或内容分发网络CDN域名。