[发明专利]检测非法域名的方法及装置

权利要求书

1.一种检测非法域名的方法，其特征在于，所述检测非法域名的方法包括：

获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度；

若所述域名的随机度大于预设阈值，则判定所述域名为非法域名。

2.根据权利要求1所述的检测非法域名的方法，其特征在于，所述获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度的步骤包括：

抓取域名系统DNS日志中的域名作为待检测的域名；

基于预先设置的随机性检测规则对所述字符组成进行分析，生成与所述随机性检测规则对应的特征值；

将生成的所述特征值作为所述域名的随机度。

3.根据权利要求1所述的检测非法域名的方法，其特征在于，当所述特征值有多个时，所述获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度的步骤包括：

抓取DNS日志中的域名作为待检测的域名；

基于预先设置的随机性检测规则对所述字符组成进行分析，生成与所述随机性检测规则对应的多个特征值；

根据分类模型将所述多个特征值归一化处理，得到所述随机度，其中，基于所述随机性检测规则以及所述预设阈值训练分类器生成所述分类模型，且所述分类模型中包含有分别与所述多个特征值一一对应的多个特征系数。

4.根据权利要求3所述的检测非法域名的方法，其特征在于，当所述随机性检测规则包括1维至N维转移概率矩阵时，基于所述1维至N维转移概率矩阵生成N个特征值，且生成的所述分类模型中包含有N个特征系数；

所述根据分类模型将所述多个特征值归一化处理，得到所述随机度的步骤包括：

将所述N个特征值分别与对应的特征系数相乘，将乘积之和作为所述域名的随机度。

5.根据权利要求1至4中任一项所述的检测非法域名的方法，其特征在于，所述判定所述域名为非法域名的步骤之前，所述检测非法域名的方法还包括：

若所述域名的随机度大于预设阈值，则判断是否当前网络内的设备在预设周期内访问所述域名的次数大于预设次数，且所述网络内访问所述域名的设备数量大于预设数量；

若是，则判定所述域名为非法域名，并将所述域名添加至域名黑名单；

若否，则判定所述域名为合法域名。

6.根据权利要求5所述的检测非法域名的方法，其特征在于，所述判断是否当前网络内的设备在预设周期内访问所述域名的次数大于预设次数，且所述网络内访问所述域名的设备数量大于预设数量的步骤之前，所述检测非法域名的方法还包括：

若所述域名的随机度大于预设阈值，则判断所述域名是否符合预置的字符组合规则；

若不符合，则执行判断是否当前网络内的设备在预设周期内访问所述域名的次数大于预设次数，且所述网络内访问所述域名的设备数量大于预设数量的步骤；

若符合，则判定所述域名为合法域名。

7.根据权利要求6所述的检测非法域名的方法，其特征在于，所述对所述域名中的字符组成进行分析以获取域名的特征值的步骤之前，所述检测非法域名的方法包括：

在获取到待检测的域名后，检测所述域名是否存在于所述域名黑名单或者域名白名单中；

若否，则执行所述对所述域名中的字符组成进行分析以获取域名的特征值的步骤。

8.一种检测非法域名的装置，其特征在于，所述检测非法域名的装置包括：

随机度获取模块，用于获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度；

域名判断模块，用于若所述域名的随机度大于预设阈值，则判定所述域名为非法域名。