[发明专利]基于混合学习的Domain-flux僵尸网络检测方法

权利要求书

1.一种基于混合学习的Domain-flux僵尸网络检测方法，其特征在于：所述方法包括以下步骤：

步骤1：将输入的DNS数据分为训练数据集和检测数据集；

步骤2：分别对训练数据集和检测数据集进行预处理；

步骤3：将预处理后的训练数据集输入模型进行训练，得到分类器；

步骤4：将预处理后的检测数据集输入分类器，分类器输出对检测数据的预划分；以该预划分为初始状态，使用改进的Kmeans算法对检测数据进行聚类分析，输出聚类后的域名簇；

步骤5：基于聚类结果对所有域名簇进行分值计算；基于计算结果判断是否存在任一域名簇为属于Domain-flux僵尸网络域名的簇，若存在，则输出符合条件的所有域名簇内的所有域名，进行下一步，若不存在，则等待下一批检测数据集，进行预处理后返回步骤4；

步骤6：基于输出的所有域名分别获得受感染主机的IP地址及由Domain-flux域名解析得到的C&C服务器的IP地址，等待下一批检测数据集，进行预处理后返回步骤4。

2.根据权利要求1所述的一种基于混合学习的Domain-flux僵尸网络检测方法，其特征在于：所述步骤1中，DNS数据包括DNS流量和DNS日志。

3.根据权利要求1所述的一种基于混合学习的Domain-flux僵尸网络检测方法，其特征在于：所述步骤2中，预处理包括对于训练数据集和检测数据集中不合规或不合法DNS的过滤及对过滤后剩下的DNS提取特征。

4.根据权利要求3所述的一种基于混合学习的Domain-flux僵尸网络检测方法，其特征在于：所述特征包括任一DNS数据的域名长度、域名层级、1-gram常见程度、2-gram常见程度、3-gram常见程度、被访问的时间跨度、平均TTL、解析IP总数、解析IP集属于不同网段个数、解析IP变化的次数、有效等价域名总数、源IP总数、源IP查询RRtype种类平均数。

5.根据权利要求1所述的一种基于混合学习的Domain-flux僵尸网络检测方法，其特征在于：所述步骤4包括以下步骤：

步骤4.1：获得检测数据集D_test在分类器中的映射集{λ₁,λ₂,…,λ_n}，存储于List_idx；

步骤4.2：基于检测数据集D_test和List_idx，计算并赋予K-means算法的初始K值及对应的若干初始中心点List_center；

步骤4.3：以K和List_center为起始状态，对检测数据集D_test进行K-means聚类分析，收敛后，List_center更新，得到聚类结果S_L；

步骤4.4：根据聚类结果判断是否有簇包含超过λ倍标准差数量的离群样本，若有，则对当前簇进行分裂处理；根据聚类结果判断是否存在任意两个簇的中心距离小于阈值，若有则合并；

步骤4.5：若步骤4.4中进行了分裂处理，则更新K和List_center，返回步骤4.3，否则进行下一步；

步骤4.6：输出聚类后的域名簇。