[发明专利]一种基于DNS分析的主机失陷检测方法及装置

说明书

本发明提供了一种基于DNS分析的主机失陷检测方法及装置，所述方法包括：利用预先训练的LSTM对待检测域名进行分类；抽取待检测域名的主机IP地址的特征；根据分类结果以及所抽取的特征，利用异常检测算法对主机IP地址进行异常打分；利用恶意IP情报匹配结果和CC server IP检测结果对异常打分结果进行补充和修正。应用本发明实施例，可以实现主机是否失陷的检测。

技术领域

本发明涉及网络安全防护领域，具体涉及一种基于DNS分析的主机失陷检测方法。

背景技术

域名服务协议(Domain Name System，DNS)，用于域名与IP地址的相互转换，为网络访问带来了便利。但是他同时也可以被黑客用来传递信息以与肉机(被黑客控制的主机)取得联系。其中比较流行的方式是利用DGA(Domain Generate Algorithm，域名生成算法)与肉机取得联系：黑客将DGA算法代码植入肉机；肉机向外请求DGA生成的域名地址；黑客随机从DGA生成算法生成的domain中取一条或少数几条注册，并将域名挂载在CC(Commandand Control server，命令和控制)服务器上；肉机请求到黑客注册的域名，进而可以成功访问到CC服务器；黑客与肉机取得通信，然后利用CC服务器控制肉机。

申请号为201911084930.9的发明专利申请公开了一种基于深度学习的恶意域名检测方法及装置，涉及网络安全的技术领域，包括：获取待检测域名；对待检测域名进行解析，得到待检测域名的报文信息；基于自然语言处理算法和文本特征提取算法，对待检测域名的报文信息进行处理，得到待检测域名的特征信息；将特征信息输入深度学习模型，得到检测结果，其中，检测结果表征待检测域名是否为恶意域名，深度学习模型为基于卷积神经网络和全连接层构建的学习模型，解决了现有的域名检测方法中在检测待检测域名是否为恶意域名的准确率较低的技术问题。

现有技术中，是采用训练的深度学习模型进行恶意域名的检测，但是，并不能实现主机是否失陷的检测。

发明内容

本发明所要解决的技术问题在于如何提供一种基于DNS分析的主机失陷检测方法及装置以实现主机是否失陷的检测。

本发明通过以下技术手段实现解决上述技术问题的：

本发明实施例提供了一种基于DNS分析的主机失陷检测方法，所述方法包括：

利用预先训练的LSTM对待检测域名进行分类；

抽取待检测域名的主机IP地址的特征；

根据分类结果以及所抽取的特征，利用异常检测算法对主机IP地址进行异常打分；

利用恶意IP情报匹配结果和CC server IP检测结果对异常打分结果进行补充和修正。

应用本发明实施例，通过对疑似DGA的主域名进行分类，然后将分类结果作为每一个主机IP地址的一个特征并组合到对应的所抽取的特征中，将组合后的特征作为主机IP的目标特征，再利用无监督分类算法对目标特征进行异常评估处理，最后使用恶意IP情报匹配结果和CC server IP检测结果进行修正，进而可以对失陷主机进行检测。

可选的，所述抽取待检测域名的主机IP地址的特征，包括：

利用公式，Xdomain计算NXdomain的主域名去重占比，其中，

NXdomain的主域名去重数为NXdomain的主域名去重统计得到的数量；Client IP为主域名去重数为主机IP所重复访问的主域名数量。

可选的，所述根据分类结果以及所抽取的特征，利用异常检测算法对主机IP地址进行异常打分，包括：

将分类结果作为每一个主机IP地址的一个特征并组合到对应的所抽取的特征中，将组合后的特征作为主机IP的目标特征；