[发明专利]恶意域名检测方法

权利要求书

1.恶意域名检测方法，其特征在于，包括以下步骤：

步骤一、判断待检测域名是否存在于黑名单或白名单中，若存在于黑名单中，则判定待检测域名为恶意域名，若存在于白名单中，则判定待检测域名为合法域名，若既不存在于白名单也不存在于黑名单中则执行步骤二；

步骤二、利用预先构造的K近邻属性图对待检测域名进行分类，若分类结果为钓鱼网站，则判定待检测域名为恶意域名，否则执行步骤三；

步骤三、通过至少一种检测方式对待检测域名的危险性进行检测，并分别计算出各个检测方式下待检测域名的危险值，再结合所有检测方式计算得到的危险值计算出待检测域名的总危险值，若待检测域名的总危险值大于或等于预设的危险阈值，则判定待检测域名为恶意域名，否则判定待检测域名为合法域名；

所述检测方式包括：通过IP信誉库获取待检测域名所对应IP的至少1个维度的参数信息，所述维度包括真人概率和/或办公概率和/或基站概率和/或活跃度和/或信用污点和/或使用人数和/或住宅小区概率和/或域名注册信息，并根据各个维度的参数信息分别分析出待检测域名所对应IP在各个维度的信誉值，再根据待检测域名所对应IP在各个维度的信誉值计算得到待检测域名所对应IP的总信誉值，再根据待检测域名所对应IP的总信誉值计算得到待检测域名的危险值。

2.如权利要求1所述的恶意域名检测方法，其特征在于，所述K近邻属性图的构造方法采用：基于半监督学习算法对预设的已标记的钓鱼链接样本和未标记的钓鱼链接样本进行半监督学习，根据学习结果构造K近邻属性图。

3.如权利要求2所述的恶意域名检测方法，其特征在于，所述已标记的钓鱼链接样本所标记的内容包括：链接来源特征和/或链接文本特征和/或链接行为特征。

4.如权利要求1所述的恶意域名检测方法，其特征在于，根据待检测域名所对应IP在各个维度的信誉值以及预设的各个维度的权值，采用加权平均法计算得到待检测域名所对应IP的总信誉值。

5.如权利要求1所述的恶意域名检测方法，其特征在于，所述步骤三中的检测方式包括：提取待检测域名所对应的网页的页面视觉特征，然后将提取出的页面视觉特征与预存的钓鱼网站的页面视觉特征或预存的合法网站的页面视觉特征进行视觉相似性对比，得到待检测域名所对应的网页与钓鱼网站的页面或合法网站的页面之间的视觉相似度，再根据视觉相似度计算得到待检测域名的危险值。

6.如权利要求5所述的恶意域名检测方法，其特征在于，所述待检测域名所对应的网页的页面视觉特征包括：页面块级特征和/或页面布局特征和/或页面风格特征；所述钓鱼网站的页面视觉特征包括：页面块级特征和/或页面布局特征和/或页面风格特征；所述合法网站的页面视觉特征包括：页面块级特征和/或页面布局特征和/或页面风格特征。

7.如权利要求1所述的恶意域名检测方法，其特征在于，所述步骤三中根据各个检测方式下待检测域名的危险值以及预设的各个检测方式的权值，采用加权平均法计算得到待检测域名的总危险值。