[发明专利]用于DGA域名研判推理机的插件化执行方法

说明书

本发明属于网络安全技术领域，具体涉及一种用于DGA域名研判推理机的插件化执行方法，包括模型构建、模型转换和模型执行，模型构建通过传统的机器学习框架构建DGA研判模型；并将DGA研判模型导出为模型序列化文件；模型转换包括语义解析、语义转换、平台加速和代码生成；模型执行为将获取的域名字符串执行归一化处理，输入到转换完成的模型中，对域名字符串是否为DGA域名进行研判，输出研判结果。本方法能够适应工业场景下的前端和后台异构大数据环境，推理机的执行性能高，具有海量数据下的可扩展性。

技术领域

本发明属于网络安全技术领域，具体涉及一种用于DGA域名研判推理机的插件化执行方法，用于工业环境下DGA域名研判推理机的工程化实现。

背景技术

DGA域名是一种恶意域名，被网络攻击团伙所使用。这种网络域名在文本形态上具有一些显著的特征，可以被防御者通过文本分析手段进行检测和防控。目前，机器学习和深度学习等技术被应用于DGA域名的检测。这些检测手段的共同点是，针对域名的文本串，提取各类文本特征，并基于这类特征运行DGA域名研判推理机。DGA域名研判推理机被用于判断所输入的域名是否为DGA域名。

推理机是机器学习模型的软件化实现，是机器学习训练过程的产物，其实现依赖于体系化的机器学习基础运算功能，可以通过机器学习框架实现，如sklearn，TensorFlow、Keras、PyTorch等。这些框架在研究场景和实验室环境下的广泛使用使得推理机的软件实现非常简易。用户往往不需要了解推理机所执行的研判逻辑，只需要对机器学习框架输入训练数据，框架自身的底层软件库和预设的推理机生产逻辑解决了推理机的自动化产生和开箱即用。

然而，在许多工业化场景下，软件研发者往往无法自由地选择对机器学习框架的使用。在工业界的工程化实战中，基础的软硬件平台的选型由复杂的业务因素和技术条件所决定，推理机只能基于已有的软硬件平台开发，而这些平台往往并不具备机器学习框架所带来的便利的底层软件库。推理机的开发者必须因地制宜地选择既有平台的底层软件能力，在此基础上构造推理机。综上所述，DGA域名研判推理机典型执行场景如下：

实验室环境：软件研发者通常可以自由地选择和使用机器学习（含深度学习）框架，这些框架通常工作在Python语言软件生态下，通过少量代码即可完成推理机的实现。实验室环境的推理机研发目的通常是技术探索，一般不考虑针对工业环境下海量数据的推理机性能问题。本文提出的方法不针对这类场景。

前端网络侧：这一场景是指，在IDS（入侵检测系统）、IPS（入侵防御系统）等网络通道下线速提取和分析DNS数据包，抽取域名字段，并即时检测DGA域名。这一场景的软件通常执行在C/C++/golang等高性能编程语言环境下，这些语言通常并不能很好地兼容Python生态中的机器学习框架。

后台数据侧：这一场景是指，基于网络数据包中的信息对DNS网络会话进行还原，形成DNS日志形态，在利用流计算或离线计算等大数据分析技术对DNS日志进行处理，检测出其中的DGA域名。这一场景的软件通常执行在Java生态中，并不能很好地兼容Python生态中的机器学习框架。

本发明对前端网络侧和后台数据侧的工程化方法进行探究。

发明内容

为了解决上述技术问题，本发明提供一种用于DGA域名研判推理机的插件化执行方法。

本发明是这样实现的，提供一种用于DGA域名研判推理机的插件化执行方法，包括：

1）模型构建：

101）通过传统的机器学习框架构建DGA研判模型；

102）将DGA研判模型导出为模型序列化文件；

2）模型转换：

201）语义解析：对步骤102）中导出的模型序列化文件进行语义解析，得到抽象语法树；