[发明专利]一种僵尸网络识别的方法、装置、设备及存储介质

权利要求书

1.一种僵尸网络识别的方法，其特征在于，包括：

获取第一域名系统协议DNS日志数据；

从所述第一DNS日志数据中，筛选满足预设条件的第二DNS日志数据；

提取所述第二DNS日志数据的特征信息；

对所述特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集；

将所述至少一个聚类集作为僵尸网络，得到僵尸网络识别结果。

2.根据权利要求1所述的方法，其特征在于，

对所述特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集，包括：

根据所述特征信息的目的域名信息和主机网际协议IP信息，确定目的域名信息与主机IP信息的对应关系；

根据所述对应关系，确定目标目的域名信息对应的主机IP信息的数量值；

当所述数量值达到所述预设数量阈值时，将所述目标目的域名信息对应的主机IP信息，形成所述目标目的域名信息对应的聚类集。

3.根据权利要求2所述的方法，其特征在于，在所述对特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集之前，还包括：

根据所述第二DNS日志数据，确定预设时间段内的主机访问频次；

确定所述主机访问频次是否超过预设频次阈值；

所述对特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集，包括：

当所述主机访问频次超过所述预设频次阈值时，则对所述特征信息进行聚类的操作，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述将至少一个聚类集作为僵尸网络，得到僵尸网络识别结果之后，还包括：

将所述至少一个聚类集保存至数据库。

5.根据权利要求1至3任一项所述的方法，其特征在于，所述将至少一个聚类集作为僵尸网络，得到僵尸网络识别结果之后，还包括：

根据所述至少一个聚类集，发送告警信息。

6.根据权利要求1所述的方法，其特征在于，所述从第一DNS日志数据中，筛选满足预设条件的第二DNS日志数据，包括：

抽取所述第一DNS日志数据的至少一个字段信息；

根据所述至少一个字段信息，确定所述第二DNS日志数据；

所述至少一个字段信息包括以下一个或者多个：域名解析时间、客户端及其端口号、请求域名、DNS服务器IP地址、域名解析返回地址、省份以及业务。

7.根据权利要求2所述的方法，其特征在于，所述目标目的域名信息包括一个或者多个。

8.一种僵尸网络识别的装置，其特征在于，包括：

获取模块，用于获取第一域名系统协议DNS日志数据；

筛选模块，用于从所述第一DNS日志数据中，筛选满足预设条件的第二DNS日志数据；

提取模块，用于提取所述第二DNS日志数据的特征信息；

聚类模块，用于对所述特征信息进行聚类，将满足预设相似条件的特征信息归为一个聚类集，以得到至少一个聚类集；

结果模块，用于将所述至少一个聚类集作为僵尸网络，得到僵尸网络识别结果。

9.一种僵尸网络识别的设备，其特征在于，所述设备包括：处理器以及存储有计算机程序指令的存储器；

所述处理器执行所述计算机程序指令时实现如权利要求1至7任意一项所述的僵尸网络识别的方法。

10.一种计算机存储介质，其特征在于，所述计算机存储介质上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现如权利要求1至7任意一项所述的僵尸网络识别的方法。