[发明专利]未知域名的安全检测方法及装置

摘要

本发明公开了一种未知域名的安全检测方法及装置，至少能够解决传统的安全软件无法检测未知域名的技术问题。该安全检测方法包括：将所述未知域名与预设的黑集合中存储的各个黑域名进行比较，得到第一比较结果；将所述未知域名与预设的白集合中存储的各个白域名进行比较，得到第二比较结果；根据所述第一比较结果以及所述第二比较结果预测所述未知域名是否为黑域名。由此可见，本发明能够对未知域名进行预测，以提升防御效果。

主权项

1.一种未知域名的安全检测方法，包括：将所述未知域名与预设的黑集合中存储的各个黑域名进行比较，得到第一比较结果；将所述未知域名与预设的白集合中存储的各个白域名进行比较，得到第二比较结果；其中，所述黑集合以及白集合根据能够实时扩充的增量样本生成，且所述黑集合以及白集合能够实时生成并更新；根据所述第一比较结果以及所述第二比较结果预测所述未知域名是否为黑域名；其中，所述将所述未知域名与预设的黑集合中存储的各个黑域名进行比较，得到第一比较结果的步骤具体包括：根据预设的相似度算法计算所述未知域名与预设的黑集合中存储的各个黑域名之间的相似度，得到第一相似度分值；并且，所述将所述未知域名与预设的白集合中存储的各个白域名进行比较，得到第二比较结果的步骤具体包括：根据预设的相似度算法计算所述未知域名与预设的白集合中存储的各个白域名之间的相似度，得到第二相似度分值；其中，当所述第一相似度分值大于预设的第一阈值时，和/或，当所述第二相似度分值小于预设的第二阈值时，确定所述未知域名是黑域名；当所述第一相似度分值小于预设的第一阈值时，和/或，当所述第二相似度分值大于预设的第二阈值时，确定所述未知域名不是黑域名；并且，所述相似度算法根据域名之间相同字符的个数以及相同字符所处的位置是否相同确定；其中，所述预设的黑集合通过以下步骤确定：扫描并获取样本集合中包含的多个恶意文件，根据预设的分类规则对所述多个恶意文件进行分类；其中，将恶意文件划分为以下类别：木马、病毒以及后门，且后门进一步划分为多个子类型；其中，预先分析各种类型的恶意文件的结构特征，并根据各种类型的恶意文件的结构特征编写相应的脚本文件，通过脚本文件自动提取恶意文件的内容并判断是否符合预设类型的结构特征，根据判断结果进行分类；根据各个类别的恶意文件的文件结构特征，提取各个类别的恶意文件中包含的域名信息，将所述域名信息存储到所述黑集合中；其中，每个类别的恶意文件的文件结构特征中定义了该类别的恶意文件中包含域名信息的字段的位置或偏移地址。