[发明专利]一种基于DNS分析的主机失陷检测方法及装置

权利要求书

1.一种基于DNS分析的主机失陷检测方法，其特征在于，所述方法包括：

利用预先训练的LSTM对待检测域名进行分类；

抽取待检测域名的主机IP地址的特征；

将分类结果作为每一个主机IP地址的一个特征并组合到对应的所抽取的特征中，将组合后的特征作为主机IP的目标特征；

利用公式，c(n)＝2H(n-1)-(2(n-1)/n)，计算平均每一个目标特征对应的路径长度，其中，c(n)为目标特征对应的平均路径长度；n为数据集包含的样本数；H(n-1)为调和数，H(n-1)的值为ln(n-1)+0.5772156649；

利用公式，，计算每一个目标特征的异常得分，其中，

s(x,n)为目标特征的异常得分；E(h(x))为样本x在一批孤立树中的路径长度的期望；h(x)为样本x的路径长度；

获取预先设立的恶意IP集，如果主机IP地址关联到恶意IP，异常打分结果乘以预设第一系数；

在主机IP地址没有关联到恶意IP，则利用CC server IP检测结果对异常打分结果进行补充和修正。

2.根据权利要求1所述的一种基于DNS分析的主机失陷检测方法，其特征在于，所述抽取待检测域名的主机IP地址的特征，包括：

利用公式，Xdomain的计算NXdomain的主域名去重占比，其中，

NXdomain的主域名去重数为NXdomain的主域名去重统计得到的数量；Client IP为主域名去重数为主机IP所重复访问的主域名数量。

3.根据权利要求1所述的一种基于DNS分析的主机失陷检测方法，其特征在于，所述利用CC server IP检测结果对异常打分结果进行补充和修正，包括：统计域名解析到的IP所对应的去重主域名量；

利用分位数统计选取阈值：

将大于阈值的IP提取出来作为疑似CC server IP集，如果关联到 CC server IP检测结果，异常打分结果乘以预设第二系数。

4.一种基于DNS分析的主机失陷检测装置，其特征在于，所述装置包括：分类模块，用于利用预先训练的LSTM对待检测域名进行分类；

抽取模块，用于抽取待检测域名的主机IP地址的特征；

打分模块，用于：

将分类结果作为每一个主机IP地址的一个特征并组合到对应的所抽取的特征中，将组合后的特征作为主机IP的目标特征；

利用公式，c(n)＝2H(n-1)-(2(n-1)/n)，计算平均每一个目标特征对应的路径长度，其中，c(n)为平均路径长度；n为数据集包含的样本数；H(n-1)为调和数，H(n-1)的值为ln(n-1)+0.5772156649；

利用公式，，计算每一个目标特征的异常得分，其中，s(x,n)为特征的异常得分；E(h(x))为样本x在一批孤立树中的路径长度的期望；h(x)为样本x的路径长度；

修正模块，用于：

获取预先设立的恶意IP集，如果主机IP地址关联到恶意IP，异常打分结果乘以预设第一系数；

在主机IP地址没有关联到恶意IP，则利用CC server IP检测结果对异常打分结果进行补充和修正。

5.根据权利要求4所述的一种基于DNS分析的主机失陷检测装置，其特征在于，所述抽取模块，用于：

利用公式，Xdomain的计算NXdomain的主域名去重占比，其中，

NXdomain的主域名去重数为NXdomain的主域名去重统计得到的数量；Client IP为主域名去重数为主机IP所重复访问的主域名数量。

6.根据权利要求5所述的一种基于DNS分析的主机失陷检测装置，其特征在于，所述修正模块，用于：统计域名解析到的IP所对应的去重主域名量；

利用分位数统计选取阈值：

将大于阈值的IP提取出来作为疑似CC server IP集，如果关联到CC server IP检测结果，异常打分结果乘以预设第二系数。