[发明专利]检测非法域名的方法及装置

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种检测非法域名的方法及装置。

背景技术

僵尸网络病毒是当前重要的病毒种类之一，僵尸网络能够发起DDoS(Distributed Denial of Service，分布式拒绝服务)攻击、钓鱼邮件、下载和传播病毒软件等恶意行为。被僵尸网络病毒控制的主机需要和僵尸网络控制服务器进行通信，以获取新的攻击目标、下载新的病毒、获取新的攻击指令、上传文件等，被僵尸网络控制的主机称为肉机。

肉机和C&C服务器进行通信，就必须知道C&C服务器(Command and Control Server，远程命令和控制服务器)的IP地址，早期僵尸网络病毒把C&C服务器的IP地址直接写入病毒程序中，但是直接使用IP地址通信易被应用防火墙检测。

当前大部分僵尸网络程序不使用IP地址直接通信，也不会使用固定域名进行通信，因为，如果把固定域名编码到僵尸网络病毒程序中，专业人员能通过逆向分析得到C&C服务器的域名。因此，僵尸网络而是控制服务器生成大量DGA(Domain Generated Algorithm，域名生成算法)域名，选择注册其中一个或者几个域名。肉机同样发出大量DGA域名的DNS请求，其中一个或者几个服务器会返回IP地址，肉机通过DNS响应的IP地址与C&C服务器通信。肉机使用DGA域名与C&C控制服务器通信一定程度上能够躲避WAF检测和专业人员逆向分析，C&C服务器使用DGA算法生成的域名还能快速更换域名和IP，使得应用防火墙对于僵尸网络的检测变得更困难。

现有的检测僵尸网络的方式主要是，利用域名或者IP地址的黑名单进行过滤，由领域专家通过分析僵尸网络病毒获取僵尸网络控制服务器的IP地址或者域名，预先建立黑名单，应用防火墙检测到主机与相应黑名单通信时进行阻止。这种方法不仅投入人力多、成本高；并且只能够检测已有的僵尸网络病毒，无法检测新出现的僵尸网络，即无法检测到新出现的非法域名，导致非法域名的检测准确率低。

发明内容

本发明提供一种检测非法域名的方法及装置，其主要目的在于解决现有的僵尸网络监测技术中无法检测新出现的非法域名的技术问题，提高检测非法域名的准确率。

为实现上述目的，本发明提供一种检测非法域名的方法，该检测非法域名的方法包括：

获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度；

若所述域名的随机度大于预设阈值，则判定所述域名为非法域名。

可选地，所述获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度的步骤包括：

抓取DNS日志中的域名作为待检测的域名；

基于预先设置的随机性检测规则对所述字符组成进行分析，生成与所述随机性检测规则对应的特征值；

将生成的所述特征值作为所述域名的随机度。

可选地，当所述特征值有多个时，所述获取待检测的域名，对所述域名中的字符组成进行分析以获取域名的特征值，根据所述特征值获取所述域名的随机度的步骤包括：

抓取DNS日志中的域名作为待检测的域名；

基于预先设置的随机性检测规则对所述字符组成进行分析，生成与所述随机性检测规则对应的多个特征值；

根据分类模型将所述多个特征值归一化处理，得到所述随机度，其中，基于所述随机性检测规则以及所述预设阈值训练分类器生成所述分类模型，且所述分类模型中包含有分别与所述多个特征值一一对应的多个特征系数。

可选地，当所述随机性检测规则包括1维至N维转移概率矩阵时，，基于所述1维至N维转移概率矩阵生成N个特征值，且生成的所述分类模型中包含有N个特征系数；

所述根据分类模型将所述多个特征值归一化处理，得到所述随机度的步骤包括：

将所述N个特征值分别与对应的特征系数相乘，将乘积之和作为所述域名的随机度。

可选地，所述判定所述域名为非法域名的步骤之前，所述检测非法域名的方法还包括：

若所述域名的随机度大于预设阈值，则判断是否当前网络内的设备在预设周期内访问所述域名的次数大于预设次数，且所述网络内访问所述域名的设备数量大于预设数量；

若是，则判定所述域名为非法域名，并将所述域名添加至域名黑名单；

若否，则判定所述域名为合法域名。