[发明专利]基于GAN和Char-CNN的DGA域名检测方法

说明书

本发明提出了一种基于GAN和Char‑CNN的DGA域名检测方法，用于解决现有技术存在的低随机性DGA域名的检测召回率低的问题，实现步骤为：获取训练样本集和验证样本集；构建生成对抗网络GAN和字符级卷积神经网络Char‑CNN；对生成对抗网络GAN进行迭代训练；获取增广训练集；对字符级卷积神经网络Char‑CNN进行迭代训练；基于训练好的字符级卷积神经网络Char‑CNN`对域名进行检测。本发明利用GAN生成对抗域名用以增广数据集，提升了训练样本集的丰富度，残差块结构降低了检测模型的错误率，提高了低随机性DGA域名的检测召回率，同时Char‑CNN需要计算的超参数少，缩短了检测模型的训练时间。

技术领域

本发明属于网络安全技术领域，涉及一种DGA域名检测方法，特别涉及一种基于GAN和Char-CNN的DGA域名检测方法，可用于定位感染主机、关闭僵尸网络和防御网络攻击。

背景技术

DGA域名是一种根据数字、日期、Twitter热点等随机种子，采用域名生成算法DGA(Domain Generation Algorithms)定期生成的域名。网络攻击者注册DGA域名，作为僵尸程序与命令和控制服务器通信的媒介，这些大量潜在的DGA域名使执法人员很难有效地关闭僵尸网络。DGA域名严重威胁网络主机的安全，尤其是新出现的低随机性DGA域名隐蔽性强，威胁更大，对DGA域名进行有效检测具有重要意义。DGA域名检测任务就是对域名的特征进行提取，通过对提取的特征进行计算，输出预测概率，进而检测域名是否为DGA域名。评价DGA域名检测效果的指标有很多，如受试者工作特征曲线、F1值、检测召回率等，其中，检测召回率表示被检测出的DGA域名占所有DGA域名的比值，因而对检测召回率指标的评价较为重要。

DGA域名检测方法可分为基于黑名单的DGA域名检测方法、基于机器学习的DGA域名检测方法和基于深度学习的DGA域名检测方法。其中，基于黑名单的DGA域名检测方法通过判断域名是否在预先设置的黑名单列表中，来检测域名是否为DGA域名，黑名单需要不断更新，导致该方法实时性差。基于机器学习的DGA域名检测方法先手动提取域名的长度、信息熵、元辅音字符比例和重复字符数等特征，再使用支持向量机、随机森林等机器学习算法检测DGA域名，可进行实时检测。基于深度学习的DGA域名检测方法通过神经网络模型自动提取域名的潜在特征，经过神经元计算后输出预测概率，从而检测域名是否为DGA域名，在基于深度学习的DGA域名检测方法中，特征维度的多少、训练样本集的丰富度和检测模型的错误率是影响召回率的主要因素。

传统的基于深度学习的DGA域名检测方法都是通过单个神经网络提取特征，特征提取的维度单一，为解决这一问题，近些年又陆续提出了通过集成神经网络提取域名多维度特征，进而检测DGA域名的方法。例如，中电长城网际系统应用有限公司的罗赟骞等人在2018年第37卷第10期的《信息技术与网络安全》上发表了论文“基于深度学习的集成DGA域名检测方法”，提出了一种基于深度学习的集成DGA域名检测方法。该方法融合深度学习中的循环神经网络RNN和卷积神经网络CNN，构建了由字符嵌入层、特征提取层和分类层三部分组成的集成检测模型。特征提取层采用CNN模型和RNN模型分别从空间和时间的维度自动提取输入字符的特征，有效提高了DGA域名的检测召回率。但是该方法仍然存在不足：训练样本集中包含的低随机性DGA域名的数量太少，丰富度低，同时在网络层次过深时会出现梯度消失的问题，错误率升高，导致低随机性DGA域名的检测召回率低；循环神经网络RNN中每个时间步的计算都依赖于前一个时间步的计算和输出，需要计算的超参数多，增加了检测模型的训练时间。

发明内容

本发明的目的在于针对上述现有技术的不足，提出一种基于GAN和Char-CNN的DGA域名检测方法，用于解决现有技术存在的低随机性DGA域名的检测召回率低的问题。

为实现上述目的，本发明采取的技术方案包括如下步骤：

(1)获取训练样本集和验证样本集：

(1a)从热门域名集Alexa中顺次选取前L个热门域名组成训练样本集A，L≥600000；