[发明专利]僵尸网络的检测方法、装置、设备及介质

权利要求书

1.一种僵尸网络的检测方法，其特征在于，包括：

根据域名系统DNS流量数据，获取与各源网际协议IP地址对应的域名响应信息；

针对每个源IP地址，分别获取域名响应信息中域名响应结果为域名不存在的拒绝访问域名，并获取各所述拒绝访问域名的主域名作为拒绝访问主域名；

针对每个拒绝访问主域名进行异常域名检测，识别所述拒绝访问主域名中包括的第一异常主域名，并获取与每个源IP地址分别对应的第一异常主域名；

统计与每个源IP地址分别对应的第一异常主域名的数量值，并将数量值超过预设数量值门限的源IP地址确定为备选受控IP地址；

根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；

在各备选受控IP地址中，获取成功访问每个主控IP地址的受控IP地址，并将每个主控IP地址和与主控IP地址对应的受控IP地址，确定为僵尸网络。

2.根据权利要求1所述的方法，其特征在于，针对每个拒绝访问主域名进行异常域名检测，识别所述拒绝访问主域名中包括的第一异常主域名，并获取与每个源IP地址分别对应的第一异常主域名，包括：

将各所述拒绝访问主域名分别输入至异常域名检测模型中，并根据所述异常域名检测模型的输出结果，识别所述拒绝访问主域名中包括的第一异常主域名；

其中，所述异常域名检测模型用于识别通过域名生成算法生成的异常域名。

3.根据权利要求1所述的方法，其特征在于，根据各备选受控IP地址的成功访问主域名与的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，包括：

获取全部与各备选受控IP地址匹配的成功访问主域名以及第一异常主域名；

获取与所述第一异常主域名对应的比对主域名特征；

分别计算各所述成功访问主域名与所述比对主域名特征之间的相似度，并根据相似度计算结果，在所述成功访问主域名中筛选得到第二异常主域名。

4.根据权利要求1所述的方法，其特征在于，根据DNS流量数据，获取与各源IP地址对应的域名响应信息，包括：

获取设定时间区间内的DNS流量数据；

将所述时间区间划分为多个时间单元，并在每个时间单元内获取与各源IP地址对应的域名响应信息；

根据各域名响应信息中的域名响应结果，在各源IP地址中筛选得到备选受控IP地址，以及与各备选受控IP地址分别匹配的第一异常主域名，包括：

在每个时间单元内，获取各备选受控IP地址以及与备选受控IP地址匹配的第一异常主域名；

根据各备选受控IP地址的成功访问主域名与匹配的第一异常主域名之间的相似度，在各成功访问主域名中提取第二异常主域名，并获取与第二异常主域名对应的主控IP地址；

在每个时间单元内，获取第二异常主域名，并分别获取与各所述第二异常主域名分别对应的第一备选主控IP地址；

根据与每个时间单元分别对应的第一备选主控IP地址，获取所述主控IP地址。

5.根据权利要求4所述的方法，其特征在于，根据与每个时间单元分别对应的第一备选主控IP地址，获取所述主控IP地址，包括：

获取与每个第一备选主控IP地址分别对应的第二异常主域名；

在全部第一备选主控IP地址中，筛选得到对应至少两个第二异常主域名的第二备选主控IP地址；

在各第二备选主控IP地址中，筛选得到在各时间单元中的出现频率超过预设频率阈值的所述主控IP地址。

6.根据权利要求2所述的方法，其特征在于，在将各所述拒绝访问主域名分别输入至异常域名检测模型中之前，还包括：

获取多个域名训练样本；所述域名训练样本中包括：域名以及所述域名是否为异常域名的标注结果；

对各所述域名训练样本的主域名进行编码，得到与各所述域名训练样本分别对应的域名训练样本向量；

根据所述域名训练样本向量对预设的机器学习模型进行模型训练，记录每次模型训练得到的评价参数，当所述评价参数满足预设条件时，得到所述异常域名检测模型。