[发明专利]域名行为识别方法、装置、可读存储介质和计算机设备

权利要求书

1.一种域名行为识别方法，包括：

获取在第一时间段内访问目标域名标识所产生的域名行为序列；

将所述第一时间段内的域名行为序列输入域名行为识别模型中进行处理，得到第一行为预测序列，其中，所述域名行为识别模型包括异常域名行为模型，所述异常域名行为模型是根据已知类别的异常域名行为序列样本集训练而成的；所述第一行为预测序列对应的类别是已知类别的域名行为序列样本集中类别的一种；

获取与所述目标域名标识对应的第二时间段内的域名行为序列，其中，所述第二时间段为与所述第一时间段相邻的下一时间段；

将所述第一行为预测序列和所述第二时间段内的域名行为序列比对，生成比对结果；

根据所述比对结果确定所述目标域名标识对应的所述第二时间段内的域名行为序列的类别。

2.根据权利要求1所述的方法，其特征在于，所述将所述第一行为预测序列和所述第二时间段内的域名行为序列比对，生成比对结果，包括：

将所述第一行为预测序列和所述第二时间段内的域名行为序列比对，得到所述第一行为预测序列和所述第二时间段内的域名行为序列的相似度；

根据所述相似度生成所述第二时间段内的域名行为序列对应的第一比对分值；

所述根据所述比对结果确定所述域名行为序列的类别，包括：

确定所述第一比对分值所对应的目标比对分值范围；

根据所述目标比对分值范围，结合比对分值范围与类别之间的对应关系，确定所述第二时间段内的域名行为序列的类别。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

获取连续预设数量的时间段内的域名行为序列对应的第一比对分值；

根据预设数量的第一比对分值确定所述目标域名标识对应的域名行为序列的分值；

根据所述目标域名标识对应的域名行为序列的分值确定所述目标域名标识的类别。

4.根据权利要求2所述的方法，其特征在于，所述域名行为识别模型包括正常域名行为模型；所述正常域名行为模型是根据至少一种已知的正常域名行为序列训练而成的；

所述方法还包括：

当根据所述第一比对分值确定所述第二时间段内的域名行为序列的类别为未知类别时，将所述第一时间段内的域名行为序列输入正常域名行为模型中进行处理，得到第二行为预测序列；

将所述第二行为预测序列和所述第二时间段内的域名行为序列比对，生成所述第二时间段内的域名行为序列对应的第二比对分值；

当所述第二比对分值处于正常域名行为序列对应的比对分值范围内时，确定所述第二时间段内的域名行为序列的类别为正常域名行为序列。

5.根据权利要求1或2所述的方法，所述域名行为识别模型包括正常域名行为模型；所述正常域名行为模型是根据至少一种已知的正常域名行为序列训练而成的；

在所述获取待识别的域名行为序列之后，还包括：

将所述第一时间段内的域名行为序列输入正常域名行为模型进行处理，得到第二行为预测序列；

将所述第二行为预测序列和所述第二时间段内的域名行为序列比对，生成所述第二时间段内的域名行为序列对应的第二比对分值；

当所述第二比对分值未处于正常域名行为序列对应的比对分值范围内时，执行所述将所述第一时间段内的域名行为序列输入域名行为识别模型中进行处理，得到第一行为预测序列的步骤。

6.根据权利要求2所述的方法，其特征在于，所述域名行为识别模型包括正常域名行为模型；所述正常域名行为模型是根据至少一种已知的正常域名行为序列训练而成的；在所述获取待识别的域名行为序列之后，还包括：

将所述第一时间段内的域名行为序列输入正常域名行为模型进行处理，得到第二行为预测序列；

将所述第二行为预测序列和所述第二时间段内的域名行为序列比对，生成所述第二时间段内的域名行为序列对应的第二比对分值；

当所述第二比对分值未处于正常域名行为序列对应的比对分值范围内时，执行所述将所述第一时间段内的域名行为序列输入域名行为识别模型中进行处理，得到第一行为预测序列的步骤；

当所述第一比对分值未处于任何比对分值范围内时，确定所述第二时间段内的域名行为序列的类别为未知的域名行为序列。