[发明专利]恶意域名识别方法、装置、电子设备及存储介质

权利要求书

1.一种恶意域名识别方法，其特征在于，包括：

通过已知域名样本集对原始数据集打标签，得到训练集和测试集；

利用训练集训练EM算法模型，利用测试集测试所述EM算法模型，得到训练好的EM算法模型；

利用训练好的EM算法模型对所述待检测域名对应的特征进行聚类，得到聚类结果；

根据聚类结果，判定所述待检测域名是否为恶意域名。

2.根据权利要求1所述的恶意域名识别方法，其特征在于，其中，

实时收集网络中的DNS数据包；

解析所述DNS数据包，从中提取DNS数据；

从DNS数据中提取所需的待分析字段；

从待分析字段中提取有利于区分善意域名和恶意域名的属性集；

利用已知的善意域名和恶意域名样本集对所述属性集打标签，并形成训练集和测试集。

3.根据权利要求2所述的恶意域名识别方法，其特征在于，所述属性集中的属性包括基于时间序列的属性，基于DNS应答的属性，基于TTL值的属性，和基于域名本身的属性。

4.根据权利要求3所述的恶意域名识别方法，其特征在于，其中，

对所述属性集进行整理计算，合并重复域名，并将每个域名对应的IP地址进行整合；

对每个域名的属性集中属性的特征进行统计；

利用EM算法模型，将所述特征聚类成多个簇，聚类过程中，会使得簇中特征的熵值达到最小，从而使得同一簇中特征的属性相同。

5.根据权利要求4所述的恶意域名识别方法，其特征在于，对于基于TTL值的属性，所述对每个域名的属性集中属性的特征进行统计包括：

计算TTL的平均值，TTL平方的平均值，TTL的方差，不同TTL的个数，TTL的总个数，TTL变化的次数以及TTL个数所在范围。

6.根据权利要求4所述的恶意域名识别方法，其特征在于，所述将每个域名对应的IP地址进行整合包括：

统计同一个域名对应的IP地址的个数，以及，每个IP地址出现的次数。

7.根据权利要求1所述的恶意域名识别方法，其特征在于，所述根据聚类结果，判定所述待检测域名是否为恶意域名包括：

提取所述待检测域名的属性集；

根据所述属性集计算所述待检测域名的特征；

利用EM算法模型，对所述特征进行聚类，当所述待检测域名的特征聚类到恶意域名所在的簇中，则所述待检测域名为恶意域名。

8.一种恶意域名识别装置，其特征在于，包括：

处理模块，用于通过已知域名样本集对原始数据集打标签，得到训练集和测试集；

训练模块，用于利用训练集训练EM算法模型，利用测试集测试所述EM算法模型，得到训练好的EM算法模型；

聚类模块，用于利用训练好的EM算法模型对所述待检测域名对应的特征进行聚类，得到聚类结果；

判定模块，用于根据聚类结果，判定所述待检测域名是否为恶意域名。

9.一种电子设备，包括：存储器，处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时，实现权利要求1至7中的任一项所述的恶意域名识别方法中的各个步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现权利要求1至7中的任一项所述的恶意域名识别方法中的各个步骤。