[发明专利]利用胶囊网络和k-means的DGA域名Botnet识别判断方法

说明书

本发明提出了一种利用胶囊网络和k‑means的DGA域名Botnet识别判断方法，包括以下步骤：S1，获取网络域名，将获取的网络域名作为待处理网络域名；S2，对步骤S1中获取的待处理网络域名进行预处理；预处理后得到处理网络域名；S3，对步骤S2中的处理网络域名进行网络域名特征图拼接；S4，将其输出的标量特征转换为向量特征；S5，对特征进行整合选择，得到最优的特征；S6通过损失函数优化模型参数；S7，判断其输出的结果是否为DGA域名或/和DGA域名家族类别。本发明能够对获取的域名进行DGA检测分类。

技术领域

本发明涉及一种网络安全态势感知监测技术领域，特别是涉及一种利用胶囊网络和k-means的DGA域名Botnet识别判断方法。

背景技术

僵尸网络(Botnet)是指采用一种或多种传播手段，将大量主机感染bot程序(僵尸程序)病毒，从而控制者和被感染主机之间形成一个可一对多控制的网络。僵尸网络的构建主要利用软件或者硬件设备的漏洞、以及社会工程学(利用人性的弱点完成目标任务)等方式使受害主机在未发觉的情况下感染恶意僵尸程序，并使用一对多的command andcontrol(CC)的信道，控制僵尸主机完成控制主机发出的指定的攻击行为。互联网的快速兴起和发展以及网络中用户数量的激增，但由于用户安全意识的缺乏，导致用户设备被一些恶意软件植入僵尸程序，这也是僵尸网络形成的主要原因之一。从互联网的诞生，第一个具有恶意行为的大规模僵尸网络是于1999年6月发现PrettyPark，它通过IRC协议与感染的僵尸主机维持通讯。僵尸网络是互联网上受到黑客集中控制的一群计算机，往往被黑客用来发起大规模的网络攻击，如分布式拒绝服务攻击(DDoS)、海量垃圾邮件等，同时黑客控制的这些计算机所保存的信息，譬如银行帐户的密码与社会安全号码等也都可被黑客随意取用。僵尸网络的检测有多种方法，目前主要针对网络和主机两种方式检测，即一种通过僵尸主机通信检测，另一种依赖主机是否植入僵尸程序。由于当前僵尸程序越来越隐蔽，且主机的安全绝大数取决于用户安全意识，因此通过主机方式来检测僵尸网络变得困难。由多个被植入僵尸程序的主机组成了僵尸网络，僵尸网络的控制需要与控制主机进行连接，可以直接对僵尸网络中主机直接下达执行的命令。控制主机与僵尸网络中主机进行通讯，通常使用硬编码的方式将控制主机的Internet Protocol(IP)直接写到僵尸程序中。这样导致了该通信方式一旦被网络管理员发现主机上有可疑的IP请求，可以直接通过防火墙阻断IP的流量通信。僵尸网络中主机无法接受到控制主机的命令，那么也就自然地无法发动网络攻击。攻击者为了避免IP封锁，转而使用Domain Name System(DNS)域名绑定控制主机继而达到控制僵尸网络中主机的目的。即使IP被网络管理员禁掉，但通过更换域名绑定的IP地址仍然可以继续与僵尸网络内主机保持会话。但是这种方式很难对抗逆向分析，安全人员通过逆向分析出的域名建立域名黑名单对访问的恶意域名的流量进行过滤。