[发明专利]Fast-Flux僵尸网络检测方法、装置、设备及存储介质

权利要求书

1.一种Fast-Flux僵尸网络检测方法，其特征在于，包括：

获取目标检测域名，并每隔监控时长，从域名解析服务DNS流量数据中，获取与目标检测域名匹配的解析IP结果数据；

将监控时长划分为多个时间单元，并根据每个时间单元内的解析IP结果数据，计算目标检测域名在每个目标时间单元内的静态统计指标集和动态统计指标集；

在确定目标静态统计指标集不满足正常域名检测条件时，计算与每个目标时间单元内分别对应的归一化静态统计指标集和归一化动态统计指标集；

根据与每个目标时间单元内分别对应的归一化静态统计指标集和归一化动态统计指标集，计算与每个目标时间单元分别对应的拟合静态值和拟合动态值；

将每个目标时间单元下的拟合静态值和拟合动态值，分别输入至预先训练的支持向量机SVM模型中，获取监控时长内每个目标时间单元下目标检测域名是否为异常域名的各识别结果；

根据所述各识别结果中目标检测域名为异常域名的识别结果数目比例与预设比例阈值，获取监控时长内目标检测域名是否为异常域名的目标识别结果；

在确定监控时长内目标检测域名为异常域名时，根据访问目标检测域名的IP地址，确定与目标检测域名匹配的僵尸网络。

2.根据权利要求1所述的方法，其特征在于，获取目标检测域名，包括：

从所述DNS流量中获取多个响应数据包，并对所有响应数据包进行解析，获取多个待检测域名；

从各待检测域名中，滤除具有内容分发网络CDN特征及解析IP结果数据的缓存时间值TTL超过设定时间阈值的检测域名后，形成所述目标检测域名。

3.根据权利要求1所述的方法，其特征在于，根据每个时间单元内的解析IP结果数据，计算目标检测域名在每个目标时间单元内的静态统计指标集和动态统计指标集，包括：

根据每个时间单元内的解析IP结果数据，计算得到与每个时间单元分别对应的各静态统计指标集；

根据所述与每个时间单元分别对应的各静态统计指标集对应的各静态统计指标的平均值及预设公式，计算得到与每个时间单元分别对应的各动态统计指标集。

4.根据权利要求3所述的方法，其特征在于，计算与每个目标时间单元内分别对应的归一化静态统计指标集和归一化动态统计指标集，包括：

从各静态统计指标集或者各动态统计指标集中，分别获取与当前处理统计指标对应的多个指标值；

根据公式：计算得到所述当前处理统计指标，在当前目标时间单元下的归一化指标值X_norm；

其中，X为当前目标时间单元对应的指标值，X_max为获取的全部指标值中的最大值，X_min为获取的全部指标值中的最小值。

5.根据权利要求3所述的方法，其特征在于，静态统计指标包括：最大请求长度、累积不同解析IP数量、累积不同网段数量、累积不同AS码数量、AS分值和解析IP分布；

动态统计指标包括：解析IP集合变化、网段的变化、AS码的变化和单次响应解析IP最大数量的变化。

6.根据权利要求5所述的方法，其特征在于，确定目标静态统计指标集不满足正常域名检测条件，包括：

将不满足解析IP分布值为0且累积不同AS码数量小于或等于3的静态统计指标集，确定为不满足正常域名检测条件的目标静态统计指标集。

7.根据权利要求5所述的方法，其特征在于，根据与每个目标时间单元内分别对应的归一化静态统计指标集和归一化动态统计指标集，计算与每个目标时间单元分别对应的拟合静态值和拟合动态值，包括：

根据与每个目标时间单元内对应的归一化静态统计指标集与预设静态统计指标权重参数集获取拟合静态值；

根据与每个目标时间单元内对应的归一化动态统计指标集与预设动态统计指标权重参数集获取拟合动态值。