[发明专利]恶意域名判定方法、装置、电子设备及存储介质

权利要求书

1.一种恶意域名判定方法，其特征在于，包括：

获取待判定的域名；

分析所述待判定的域名，得到表征领域向量值和行为领域向量值，其中表征领域包括：域名中有含义单词的平均长度、域名中有含义单词的个数、域名中混淆字符的个数、域名中混淆字符的平均相邻程度中至少一个，行为领域包括域名连接时长比例、域名连接时段、域名连接端口是否为协议标准端口、域名连接端口是否为约定常用端口中至少一个；

将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和y轴坐标点；

组合所述x轴坐标点和y轴坐标点，得到所述待判定的域名转换后在平面直角坐标系中的坐标位置；

将所述坐标位置转换成预设Poicare圆盘中的坐标位置；

计算转换后的Poicare圆盘中的坐标位置与所述预设Poicare圆盘的中心的距离；

根据所述距离，判断所述域名的恶意程度。

2.根据权利要求1所述的方法，其特征在于，所述分析所述待判定的域名，得到表征领域向量值和行为领域向量值，包括：

分析所述待判定的域名，得到含义指数和混淆指数，组合所述含义指数和混淆指数得到所述表征领域向量值，其中所述含义指数由域名中有含义单词的平均长度、域名中有含义单词的个数中至少一个计算得到，所述混淆指数由域名中混淆字符的个数、域名中混淆字符的平均相邻程度中至少一个计算得到；

分析所述待判定的域名，得到时间指数和端口指数，组合所述时间指数和端口指数得到所述行为领域向量值，其中所述时间指数由域名连接时长比例、域名连接时段中至少一个计算得到，所述端口指数由域名连接端口是否为协议标准端口、域名连接端口是否为约定常用端口中至少一个计算得到。

3.根据权利要求1所述的方法，其特征在于，所述将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和y轴坐标点，包括：

将所述表征领域向量值和行为领域向量值赋予权重向量后分别得到平面直角坐标系中x轴坐标点和y轴坐标点。

4.根据权利要求1-3中任一所述的方法，其特征在于，所述根据所述距离，判断所述域名的恶意程度，包括：

根据所述距离与预设阈值的关系，判断所述域名的恶意程度。

5.一种恶意域名判定装置，其特征在于，包括：

获取模块，用于获取待判定的域名；

分析模块，用于分析所述待判定的域名，得到表征领域向量值和行为领域向量值，其中表征领域包括域名中有含义单词的平均长度、域名中有含义单词的个数、域名中混淆字符的个数、域名中混淆字符的平均相邻程度中至少一个，行为领域包括域名连接时长比例、域名连接时段、域名连接端口是否为协议标准端口、域名连接端口是否为约定常用端口中至少一个；

第一转换模块，用于将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和y轴坐标点；

组合模块，用于组合所述x轴坐标点和y轴坐标点，得到所述待判定的域名转换后在平面直角坐标系中的坐标位置；

第二转换模块，用于将所述坐标位置转换成预设Poicare圆盘中的坐标位置；

计算模块，用于计算转换后的Poicare圆盘中的坐标位置与所述预设Poicare圆盘的中心的距离；

判断模块，用于根据所述距离，判断所述域名的恶意程度。

6.根据权利要求5所述的装置，其特征在于，所述分析模块包括：

第一分析子单元，用于分析所述待判定的域名，得到含义指数和混淆指数，组合所述含义指数和混淆指数得到所述表征领域向量值，其中所述含义指数由域名中有含义单词的平均长度、域名中有含义单词的个数中至少一个计算得到，所述混淆指数由域名中混淆字符的个数、域名中混淆字符的平均相邻程度中至少一个计算得到；

第二分析子单元，用于分析所述待判定的域名，得到时间指数和端口指数，组合所述时间指数和端口指数得到所述行为领域向量值，其中所述时间指数由域名连接时长比例、域名连接时段中至少一个计算得到，所述端口指数由域名连接端口是否为协议标准端口、域名连接端口是否为约定常用端口中至少一个计算得到。