[发明专利]一种恶意域名处理方法、装置、设备及机器可读存储介质

权利要求书

1.一种恶意域名处理方法，其特征在于，应用于网络安全设备，所述方法包括：

获取符合预设要求的训练样本，根据预设维度，对训练样本提取样本特征；

根据提取的样本特征，对所述训练样本进行样本聚类，并使用BiLstm训练生成分类器，包括：采用Bilstm神经网络进行该样本的特征权重分配，利用训练的深度学习模型进行未知域名的预测；根据前向lstm和后向lstm进行拼接形成Bilstm，将前述训练样本提取的样本特征进行处理成符合模型输入的数组，然后送入Bilstm模型进行训练；对训练好的模型进行保存，利用训练好的模型对DNS流量中的带判定域名进行分类；

使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：设立白名单，将特定域名纳入白名单中，若待判定域名匹配白名单数据，则判定该域名不属于DGA域名；

所述预设维度包括，域名长度、声母占比、数值占比、域名熵值。

2.根据权利要求1所述的方法，其特征在于，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：

根据被判断为DGA域名的待判定域名，提取域名信息进行保存并显示。

3.根据权利要求1所述的方法，其特征在于，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：

设立白名单，将特定域名纳入白名单中；

若待判定域名匹配白名单数据，则判定该域名不属于DGA域名。

4.根据权利要求1所述的方法，其特征在于，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：

根据预设规则，判断属于DGA域名的待判定域名是否关联于恶意攻击。

5.一种恶意域名处理装置，其特征在于，应用于网络安全设备，所述装置包括：

样本模块，用于获取符合预设要求的训练样本，根据预设维度，对训练样本提取样本特征；

训练模块，用于根据提取的样本特征，对所述训练样本进行样本聚类，并使用BiLstm训练生成分类器，包括：采用Bilstm神经网络进行该样本的特征权重分配，利用训练的深度学习模型进行未知域名的预测；根据前向lstm和后向lstm进行拼接形成Bilstm，将前述训练样本提取的样本特征进行处理成符合模型输入的数组，然后送入Bilstm模型进行训练；对训练好的模型进行保存，利用训练好的模型对DNS流量中的带判定域名进行分类；

判定模块，用于使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：设立白名单，将特定域名纳入白名单中，若待判定域名匹配白名单数据，则判定该域名不属于DGA域名；

所述预设维度包括：域名长度、声母占比、数值占比、域名熵值。

6.根据权利要求5所述的装置，其特征在于，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：

根据被判断为DGA域名的待判定域名，提取域名信息进行保存并显示。

7.根据权利要求5所述的装置，其特征在于，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：

设立白名单，将特定域名纳入白名单中；

若待判定域名匹配白名单数据，则判定该域名不属于DGA域名。

8.根据权利要求5所述的装置，其特征在于，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：

判定模块还用于根据预设规则，判断属于DGA域名的待判定域名是否关联于恶意攻击。

9.一种电子设备，其特征在于，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令，以实现权利要求1-4任一所述的方法。

10.一种机器可读存储介质，其特征在于，所述机器可读存储介质存储有机器可执行指令，所述机器可执行指令在被处理器调用和执行时，所述机器可执行指令促使所述处理器实现权利要求1-4任一所述的方法。