[发明专利]恶意域名识别方法、装置、电子设备及存储介质

说明书

本公开提供一种恶意域名识别方法、装置、电子设备及存储介质，应用于计算机技术领域，包括：通过已知域名样本集对原始数据集打标签，得到训练集和测试集，利用训练集训练EM算法模型，利用测试集测试所述EM算法模型，得到训练好的EM算法模型，利用训练好的EM算法模型对所述待检测域名对应的特征进行聚类，得到聚类结果。根据聚类结果，判定所述待检测域名是否为恶意域名。

技术领域

本申请涉及计算机技术领域，尤其涉及一种恶意域名识别方法、装置、电子设备及存储介质。

背景技术

随着互联网的普及，访问各式各样的网络域名已成为大家日常生活、办公中不可或缺的一部分，现阶段的网络安全问题大都涉及到恶意域名：通过域名可以进行诸如钓鱼、垃圾邮件传播等常见的网络攻击，而更高级的攻击者可以通过其控制的僵尸网络中使用域名生成算法和域名轮换技术增强恶意网络的健壮性，因此对恶意域名的测量至关重要。

发明内容

本申请的主要目的在于提供一种恶意域名识别方法、装置、电子设备及存储介质，可判断出恶意域名。

为实现上述目的，本申请实施例第一方面提供一种恶意域名识别方法，包括：

通过已知域名样本集对原始数据集打标签，得到训练集和测试集；

利用训练集训练EM算法模型，利用测试集测试所述EM算法模型，得到训练好的EM算法模型；

利用训练好的EM算法模型对所述待检测域名对应的特征进行聚类，得到聚类结果；

根据聚类结果，判定所述待检测域名是否为恶意域名。

可选的，实时收集网络中的DNS数据包；

解析所述DNS数据包，从中提取DNS数据；

从DNS数据中提取所需的待分析字段；

从待分析字段中提取有利于区分善意域名和恶意域名的属性集；

利用已知的善意域名和恶意域名样本集对所述属性集打标签，并形成训练集和测试集。

可选的，所述属性集中的属性包括基于时间序列的属性，基于DNS应答的属性，基于TTL值的属性，和基于域名本身的属性。

可选的，对所述属性集进行整理计算，合并重复域名，并将每个域名对应的IP地址进行整合；

对每个域名的属性集中属性的特征进行统计；

利用EM算法模型，将所述特征聚类成多个簇，聚类过程中，会使得簇中特征的熵值达到最小，从而使得同一簇中特征的属性相同。

可选的，对于基于TTL值的属性，所述对每个域名的属性集中属性的特征进行统计包括：

计算TTL的平均值，TTL平方的平均值，TTL的方差，不同TTL的个数，TTL的总个数，TTL变化的次数以及TTL个数所在范围。

可选的，所述将每个域名对应的IP地址进行整合包括：

统计同一个域名对应的IP地址的个数，以及，每个IP地址出现的次数。

可选的，所述根据聚类结果，判定所述待检测域名是否为恶意域名包括：

提取所述待检测域名的属性集；

根据所述属性集计算所述待检测域名的特征；

利用EM算法模型，对所述特征进行聚类，当所述待检测域名的特征聚类到恶意域名所在的簇中，则所述待检测域名为恶意域名。

本申请实施例第二方面提供一种恶意域名识别装置，包括：