[发明专利]一种域名合法性检测方法及装置

说明书

本申请涉及网络安全技术领域，尤其涉及一种域名合法性检测方法及装置，用以解决现有技术中存在的不能有效识别僵尸网络域名，阻止僵尸网络危害的问题；本申请实施例提供的方法包括：获取待检测域名；确定所述待检测域名的特征向量；其中，所述特征向量中的每个元素为所述待检测域名的每种特征的特征值；基于确定的所述特征向量，以及预先训练出的用于判断域名合法性的分类模型，确定所述待检测域名的合法性。这样，如果确定待检测域名为非法域名，则可以在僵尸网络发起攻击的过程中阻断对域名的解析服务，因而能有效阻止僵尸网络的危害。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种域名合法性检测方法及装置。

背景技术

目前，在互联网领域几乎所有的网络安全设施都允许域名解析，因此，越来越多的黑客利用域名系统(Domain Name System，DNS)对非法域名进行解析来达到各种非法目的，如僵尸网络。

近些年出现的采用Fast-flux技术的僵尸网络，一般会包括多个被控制的计算机，这多个计算机的DNS记录会持续、快速地发生变化，从而使犯罪行为的追踪和阻断更为困难，而僵尸网络的攻击可能会导致大量机密信息、个人隐私泄露，严重时甚至会导致整个信息网络瘫痪，因此，如何有效检测出Fast-flux僵尸网络域名是网络安全研究者关注的热点问题。

可见，如何识别僵尸网络域名，进而阻止僵尸网络的危害是迫切需要解决的问题。

发明内容

本申请实施例提供一种域名合法性检测方法及装置，用以解决现有技术中不能有效识别僵尸网络域名，阻止僵尸网络犯罪的问题。

本申请实施例提供的一种域名合法性检测方法，包括：

获取待检测域名；

确定待检测域名的特征向量；其中，特征向量中的每个元素为待检测域名的每种特征的特征值；

基于确定的特征向量，以及预先训练出的用于判断域名合法性的分类模型，确定待检测域名的合法性。

可选地，基于以下步骤训练分类模型：

获取域名样本中每个域名的特征向量和该域名的属性信息；所述属性信息用于指示该域名是否合法；

将域名样本中每个域名的特征向量作为待训练的分类模型的输入值，将该域名的属性信息作为待训练的分类模型的输出值，训练分类模型。

可选地，域名的特征包括以下两类特征中的一类或两类：

域名的伪装特征；域名的跳变特征。

可选地，域名的伪装特征包括以下特征中的一种或多种：

域名长度；域名中是否包含符合IP地址格式的字符串；域名中的分隔符个数；域名中的特殊字符个数；域名中的数字字符个数；域名中的数字字符个数与域名长度的比例；域名中的数字字符与字母字符之间的转换频率；域名中的大写字母个数；域名分隔符间字符串的最大长度；域名中连续数字的最大长度；域名中连续字母的最大长度。

可选地，域名的跳变特征包括以下特征中的一种或多种：

域名请求数据包的生存时间TTL平均值；域名所属网段的个数；域名解析出的IP地址个数、自治系统AS个数；域名服务NS个数；NS分散度；NS请求数据包对应的TTL平均值；域名的注册时间；域名解析出的IP地址所属的国家数量。

本申请实施例提供的一种域名合法性检测装置，包括：

获取模块，用于获取待检测域名；

特征向量确定模块，用于确定待检测域名的特征向量；其中，所述特征向量中的每个元素为待检测域名的每种特征的特征值；