[发明专利]一种基于主机群特征检测速变攻击域名的方法

摘要

本发明涉及一种基于主机群特征检测速变攻击域名的方法，主要包括步骤：1)网络数据包的抓取和DNS报文特征提取；2)速变攻击域名检测；3)误判检测。其中，速变攻击域名检测包括域名对应主机群的IP分散程序计算、服务可用性评估和网络波动检测，为本发明的核心；误判检测排除速变攻击域名检测过程中正常的大型网络域名和在线率探测中本地网络不佳时的检测结果。本发明分析局域网内DNS报文的集合，基于域名对应的主机群IP分散程度和在线率等特征，避免了对单个DNS报文进行分析的准确率问题，且在计算IP距离时考虑域名对应主机群的规模，从而避免大型良性速变网络被误判。

主权项

一种基于主机群特征检测速变攻击域名的方法，其特征在于，包括：步骤1，将已有速变攻击域名和正常域名所对应的所有IP的属性作为训练参数，训练出分类器模型；步骤2，捕获网络流量中的DNS域名系统报文，提取出域名IP对元组数据，并将其存储到域名数据库模块；步骤3，从域名数据库模块中取出域名IP对元组数据得到待检测的域名及其对应的所有IP，并计算每个域名对应的IP分散程度；步骤4，根据步骤3的IP分散程度结果，对分散程度值超过阈值的域名进行服务可用性检测；步骤5，将步骤3的IP分散结果和步骤4的服务可用性检测结果输入至步骤1训练出的分类器模型中进行分类，确定出速变攻击域名。