[发明专利]一种对抗训练DGA域名检测模型的方法及装置

权利要求书

1.一种对抗训练DGA域名检测模型的方法，其特征在于，包括：

获取DNS流量样本数据，并提取各DNS流量样本数据的主域名和顶级域名，以获得域名文件；

基于预先构造的分词词典对所述域名文件中的各域名进行分割，并根据分割结果构建编码向量文件，其中，所述分词词典是基于常用词汇形成的，包括整词和子词；

通过预先训练的词向量模型确定所述编码向量文件的各域名的训练词向量集，以及利用生成模型生成DGA域名的模拟词向量；

基于所述训练词向量集中的词向量和所生成的模拟词向量训练判别模型和所述生成模型。

2.如权利要求1所述的对抗训练DGA域名检测模型的方法，其特征在于，根据分割结果构建编码向量文件包括：

根据分割结果按照前向最大匹配原则，将域名分割为整词和子词的序列片段；

按照出现频率高低顺序，基于所述序列片段中出现频率靠前的指定数量的整词或子词，构建向量映射字典；

基于所述向量映射字典形成所述编码向量文件。

3.如权利要求2所述的对抗训练DGA域名检测模型的方法，其特征在于，基于所述向量映射字典形成所述编码向量文件包括：

基于所述向量映射字典，将域名文件中的各域名编码至预设长度，以形成所述编码向量文件。

4.如权利要求2所述的对抗训练DGA域名检测模型的方法，其特征在于，所述词向量模型是预先利用无监督学习方法训练获得的。

5.如权利要求2所述的对抗训练DGA域名检测模型的方法，其特征在于，利用生成模型生成DGA域名的模拟词向量包括：

基于期望分布随机产生对抗样本，并将产生的对抗样本输入所述生成模型，以生成DGA域名的模拟词向量。

6.如权利要求5所述的对抗训练DGA域名检测模型的方法，其特征在于，基于所述训练词向量集中的词向量和所生成的模拟词向量训练判别模型和所述生成模型还包括：

通过最近邻算法基于所述向量映射字典，确定与所生成的模拟词向量距离最近的向量所对应的各子词；

拼接各子词，生成所需的DGA域名。

7.如权利要求5所述的对抗训练DGA域名检测模型的方法，其特征在于，基于所述训练词向量集中的词向量和所生成的模拟词向量训练判别模型和所述生成模型包括：

基于所述训练词向量集中的词向量和所生成的模拟词向量将所述判别模型训练至目标精度；

基于所述训练词向量集中的词向量和所生成的模拟词向量对所述生成模型和所述判别模型进行轮次训练，直至满足需求。

8.一种DGA域名检测方法，其特征在于，包括：

获取待检测的DNS流量数据，并提取该DNS流量数据的主域名和顶级域名；

基于预先构造的分词词典对该DNS流量数据的主域名和顶级域名进行分割，以确定该DNS流量数据的词向量；

将该DNS流量数据的词向量作为输入，利用如权利要求1-7任一项所述的对抗训练DGA域名检测模型的方法所训练获得的判别模型对该DNS流量数据进行预测；

根据预测结果确定该DNS流量数据是否为DGA域名。

9.一种对抗训练DGA域名检测模型的装置，其特征在于，包括处理器，被配置为：

获取DNS流量样本数据，并提取各DNS流量样本数据的主域名和顶级域名，以获得域名文件；

基于预先构造的分词词典对所述域名文件中的各域名进行分割，并根据分割结果构建编码向量文件，其中，所述分词词典是基于常用词汇形成的，包括整词和子词；

通过预先训练的词向量模型确定所述编码向量文件各域名的训练词向量集，以及利用生成模型生成DGA域名的模拟词向量；

利用所述训练词向量集中的词向量和所生成的模拟词向量训练判别模型和所述生成模型。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7中任一项所述的方法的步骤。