[发明专利]一种恶意域名处理方法、装置、设备及机器可读存储介质

说明书

本公开提供一种恶意域名处理方法、装置、设备及机器可读存储介质，该方法包括：获取符合预设要求的训练样本，根据预设维度，对训练样本提取样本特征；根据提取的样本特征，对所述训练样本进行样本聚类，并使用BiLstm训练生成分类器；使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名；所述预设维度包括：域名长度、声母占比、数值占比、域名熵值。通过本公开的技术方案，采用拼音声母作为训练模型的维度之一，得到的算法模型，可有效降低境内网站的误报率，同时本公开提供的训练方法，特征提取简单、高效，判断DGA域名准确率高、耗费资源少。

技术领域

本公开涉及通信技术领域，尤其是涉及一种恶意域名处理方法、装置、设备及机器可读存储介质。

背景技术

恶意软件如今已经发展为威胁网络安全的头号公敌，为了逃避安全设施的检测，其制作过程也越来越复杂，其中一个典型做法是在软件中集成DGA(Domain GenerationAlgorithm)算法，产生速变域名，该方式作为备用或者主要的与C2服务器通信的手段，可以构造更加鲁棒的僵尸网络，做到对感染肉鸡的持续性控制。对应地，针对DGA算法的研究现在也是安全圈讨论的热点话题，学术界和工业界也有大量DGA域名检测的工作，但是在实际使用中存在误报过多的现象。

BiLSTM：Bi-directional Long Short-Term Memory的缩写，是由前向LSTM与后向LSTM组合而成。LSTM：全称Long Short-Term Memory，是RNN(Recurrent Neural Network)的一种，LSTM由于其设计的特点，非常适合用于对时序数据的建模，如文本数据。

发明内容

有鉴于此，本公开提供一种恶意域名处理方法、装置及电子设备、机器可读存储介质，以改善上述误报率过高的技术问题。

具体地技术方案如下：

本公开提供了一种恶意域名处理方法，应用于网络安全设备，所述方法包括：获取符合预设要求的训练样本，根据预设维度，对训练样本提取样本特征；根据提取的样本特征，对所述训练样本进行样本聚类，并使用BiLstm训练生成分类器；使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名；所述预设维度包括：域名长度、声母占比、数值占比、域名熵值。

作为一种技术方案，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：根据被判断为DGA域名的待判定域名，提取域名信息进行保存并显示。

作为一种技术方案，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：设立白名单，将特定域名纳入白名单中；若待判定域名匹配白名单数据，则判定该域名不属于DGA域名。

作为一种技术方案，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：根据预设规则，判断属于DGA域名的待判定域名是否关联于恶意攻击。

本公开同时提供了一种恶意域名处理装置，应用于网络安全设备，所述装置包括：样本模块，用于获取符合预设要求的训练样本，根据预设维度，对训练样本提取样本特征；训练模块，用于根据提取的样本特征，对所述训练样本进行样本聚类，并使用BiLstm训练生成分类器；判定模块，用于使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名；所述预设维度包括：域名长度、声母占比、数值占比、域名熵值。

作为一种技术方案，所述使用分类器对根据待判定域名提取的特征进行处理，判断所述待判定域名是否属于DGA域名，包括：根据被判断为DGA域名的待判定域名，提取域名信息进行保存并显示。