[发明专利]一种基于主动和被动探测的恶意域名服务器检测方法

摘要

本发明是一种基于主动和被动探测的恶意域名服务器检测方法，核心是基于主动和被动探测联动起来利用机器学习来检测恶意的域名服务器。本发明方法首先由数据采集和处理层收集良性和恶意的DNS数据流量样本，并基于一定时间窗口以（通信IP组，目的端口，域名）方式提流。接着由主动和被动探测方法分别提取基于流的特征和基于域名服务器的特征，其中域名服务器是由相应流锁定的。然后经由模型训练层的随机森林算法训练出恶意域名服务器分类器。最后为在线检测层嗅探数据提流，由主动和被动模块联动提取特征，然后将流输入检测器得到最终的分类结果。本发明可以准确地寻找到恶意的域名服务器，通过主动和被动探测方法的联动有效地增强了检测效果。