[发明专利]一种域名检测方法、系统及装置

权利要求书

1.一种域名检测方法，其特征在于，所述方法包括：

获取待检测的目标域名和所述目标域名的异常参数，所述异常参数用于表征所述目标域名作为DGA域名的可能性，其中，所述异常参数按照以下方式生成：提取所述目标域名的词嵌入特征，并将所述词嵌入特征编码为中间特征，以及将所述中间特征解码为输出特征；其中，编码和解码的过程通过基于域名白名单样本训练得到的自编码器实现，所述自编码器通过互为镜像的两组神经网络实现；计算所述目标域名的输出特征和所述目标域名的词嵌入特征之间的误差，并将所述误差作为所述目标域名的异常参数；

提取所述目标域名的词嵌入特征，识别所述词嵌入特征的上下文逻辑特征，并将所述上下文逻辑特征与所述异常参数拼接为第二合成向量，根据所述第二合成向量生成所述目标域名是否为DGA域名的第二判断结果；

根据所述第二判断结果，确定所述目标域名是否属于DGA域名；

所述提取所述目标域名的词嵌入特征包括：对目标域名进行分词处理，得到一连串的单词；针对每个单词，通过词嵌入算法生成各自的词向量，将所述词向量共同形成的矩阵作为目标域名的词嵌入特征。

2.如权利要求1所述的域名检测方法，其特征在于，所述方法还包括：

提取所述目标域名的描述特征，然后构建所述目标域名的描述特征向量，并将所述描述特征向量与所述异常参数拼接为第一合成向量，根据所述第一合成向量生成所述目标域名是否为DGA域名的第一判断结果；

根据所述第一判断结果和所述第二判断结果，确定所述目标域名是否属于DGA域名。

3.根据权利要求2所述的方法，其特征在于，提取所述目标域名的描述特征包括：

对所述目标域名进行特征工程处理，以得到与所述目标域名相关的描述特征，所述描述特征包括以下至少一种：

目标域名的域名长度、目标域名的信息熵、目标域名中的特殊字符数、目标域名对应的顶级域名权重、目标域名的相似度参数。

4.根据权利要求2或3所述的方法，其特征在于，根据所述第一合成向量生成所述目标域名是否为DGA域名的第一判断结果包括：

将所述第一合成向量输入预先训练得到的检测模型中，并将所述检测模型的输出结果作为所述第一判断结果。

5.根据权利要求4所述的方法，其特征在于，所述检测模型按照以下方式训练得到：

获取域名训练样本和所述域名训练样本的异常参数，并为所述域名训练样本添加对应的训练标签，所述训练标签用于表征对应的域名训练样本是否为DGA域名；

提取所述域名训练样本的描述特征，并基于所述域名训练样本的描述特征和异常参数，构建所述域名训练样本的训练向量；

将所述训练向量输入待训练的检测模型中，并将所述待训练的检测模型的输出结果与所述域名训练样本的训练标签进行对比，并根据对比结果对所述待训练的检测模型中的参数进行校正，以使得所述训练向量经过校正后的检测模型处理后，得到的输出结果与所述域名训练样本的训练标签保持一致。

6.根据权利要求1所述的方法，其特征在于，对所述目标域名进行分词处理包括：

预先设定滑动窗口，并利用所述滑动窗口沿指定方向对所述目标域名进行单词分割，其中，所述滑动窗口的长度在单词分割过程中可调节，以生成不同长度的单词。

7.根据权利要求1所述的方法，其特征在于，根据所述第二合成向量生成所述目标域名是否为DGA域名的第二判断结果包括：

将所述第二合成向量输入单层感知器中，并将所述单层感知器的输出结果作为所述第二判断结果。

8.根据权利要求7所述的方法，其特征在于，识别所述词嵌入特征的上下文逻辑特征包括：

识别所述词嵌入特征中各个单词的词向量，并提取各个所述词向量的特征向量，以生成由各个所述特征向量构成的特征矩阵；

按照各个单词在所述目标域名中的排列顺序，提取所述特征矩阵的上下文逻辑特征。