[发明专利]恶意域名判定方法、装置、电子设备及存储介质

说明书

本发明的实施例公开了一种恶意域名判定方法、装置、电子设备及存储介质，涉及网络安全技术领域，能够对恶意域名实现预测性判定。所述恶意域名判定方法包括：获取待判定的域名；分析所述待判定的域名，得到表征领域向量值和行为领域向量值；将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和y轴坐标点；组合所述x轴坐标点和y轴坐标点，得到所述待判定的域名转换后在平面直角坐标系中的坐标位置；将所述坐标位置转换成预设Poicare圆盘中的坐标位置；计算转换后的Poicare圆盘中的坐标位置与所述预设Poicare圆盘的中心的距离；根据所述距离，判断所述域名的恶意程度。本发明适用于恶意c2域名的判定。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种恶意域名判定方法、装置、电子设备及存储介质。

背景技术

随着最近几十年计算机技术以及互联网通讯的飞速发展，网络支付、网上购物越来越成为人们生活不可或缺的一部分，资本的积累必然会导致一些不法分子的觊觎，各种恶意域名所带来的网络诈骗层出不穷。传统的恶意域名判定多集中在基于已有知识库的判定，在一定程度上无法达到预测性的判定。

发明内容

有鉴于此，本发明实施例提供一种能够实现预测性判定的恶意域名判定方法、装置、电子设备及存储介质。

第一方面，本发明实施例提供一种恶意域名判定方法，包括：

获取待判定的域名；

分析所述待判定的域名，得到表征领域向量值和行为领域向量值，其中表征领域包括域名中有含义单词的平均长度、域名中有含义单词的个数、域名中混淆字符的个数、域名中混淆字符的平均相邻程度中至少一个，行为领域包括域名连接时长比例、域名连接时段、域名连接端口是否为协议标准端口、域名连接端口是否为约定常用端口中至少一个；

将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和y轴坐标点；

组合所述x轴坐标点和y轴坐标点，得到所述待判定的域名转换后在平面直角坐标系中的坐标位置；

将所述坐标位置转换成预设Poicare圆盘中的坐标位置；

计算转换后的Poicare圆盘中的坐标位置与所述预设Poicare圆盘的中心的距离；

根据所述距离，判断所述域名的恶意程度。

结合第一方面，在第一方面的一种实施方式中，所述分析所述待判定的域名，得到表征领域向量值和行为领域向量值，包括：

分析所述待判定的域名，得到含义指数和混淆指数，组合所述含义指数和混淆指数得到所述表征领域向量值，其中所述含义指数由域名中有含义单词的平均长度、域名中有含义单词的个数中至少一个计算得到，所述混淆指数由域名中混淆字符的个数、域名中混淆字符的平均相邻程度中至少一个计算得到；

分析所述待判定的域名，得到时间指数和端口指数，组合所述时间指数和端口指数得到所述行为领域向量值，其中所述时间指数由域名连接时长比例、域名连接时段中至少一个计算得到，所述端口指数由域名连接端口是否为协议标准端口、域名连接端口是否为约定常用端口中至少一个计算得到。

结合第一方面，在第一方面的另一种实施方式中，所述将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和y轴坐标点，包括：

将所述表征领域向量值和行为领域向量值赋予权重向量后分别得到平面直角坐标系中x轴坐标点和y轴坐标点。

结合第一方面，在第一方面的再一种实施方式中，所述根据所述距离，判断所述域名的恶意程度，包括：

根据所述距离与预设阈值的关系，判断所述域名的恶意程度。

第二方面，本发明实施例提供一种恶意域名判定装置，包括：