[发明专利]基于聚类和关联情报的DGA域名检测分析方法和系统

说明书

本发明公开了一种基于聚类和关联情报的DGA域名检测分析方法和系统，方法包括：获取DNS的统计数据，并在统计数据范围内获取疑似DGA域名，抽取疑似DGA域名的行为和文本特征，并生成疑似DGA域名的聚类标签，并基于所述聚类标签划分疑似DGA域名的DGA家族，并使用解析IP数量过滤删减所述DGA家族，以获得所述DGA家族中保留下来的DGA域名；从而在DGA家族中保留下来的DGA域名范围内，使用域名创建时间和威胁情报信息过滤疑似DGA域名。这样，该方法和系统能够准确对DGA域名进行检测和研判，通过聚类分析和情报检测，可以检测出活跃且价值较高的DGA域名，实现对DGA域名的有效检测和研判，具有较高的检测准确性。

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于聚类和关联情报的DGA域名检测分析方法和系统。

背景技术

动态域名生成算法能够有效地生成伪随机域名，恶意软件使用该域名连接其所用的命令控制服务器(Command and Control server，C2)，不仅可有效地绕过黑名单检测，而且可以在命令控制服务器地址变更或部分失效时仍然可以连接服务器，提高了恶意软件通信连接的可靠性。该算法是实现恶意软件的关键技术，破解该技术可有效地检测恶意软件，对于提升信息安全防护水平有着重要意义。

目前，工业和学术界对DGA(Domain Generation Algorithm，DGA)域名的检测方法进行了深入研究，尽管模型在实验测试中表现出来良好的效果，但在工程应用中，即使很小的误报率在海量的数据中也会产生大量的结果，对误报进行有效的筛出是一项具有挑战性的工作；另外，一般的检测方法只是检测域名是否是DGA域名，即使采用多分类的方法对域名进行分类，准确性也不高，特别是在出现新DGA域名时会出现误判，因此，对DGA域名进行家族聚类是一项在工程应用中亟待解决的问题；最后，DGA域名绝大部分是无解析IP的域名，分析海量的DGA域名将会产生大量的工作量，如果有效过滤出活跃的DGA域名是工程应用中最重要的问题。

因此，提供一种基于聚类和关联情报的DGA域名检测分析方法和系统，以期实现DGA域名的清洗、家族聚类和DGA域名自动筛选，从而提高恶意软件的检测准确性，就成为本领域技术人员亟待解决的问题。

发明内容

为此，本发明提供一种基于聚类和关联情报的DGA域名检测分析方法和系统，以便能够实现DGA域名的清洗、家族聚类和DGA域名自动筛选，从而提高恶意软件的检测准确性。

为了实现上述目的，本发明提供一种基于聚类和关联情报的DGA域名检测分析方法，所述方法包括：

获取DNS的统计数据，并在统计数据范围内获取疑似DGA域名；

抽取疑似DGA域名的行为和文本特征，并生成疑似DGA域名的聚类标签；

基于所述聚类标签划分疑似DGA域名的DGA家族，并使用解析IP数量过滤删减所述DGA家族，以获得所述DGA家族中保留下来的DGA域名；

在DGA家族中保留下来的DGA域名范围内，使用域名创建时间和威胁情报信息过滤疑似DGA域名。

进一步地，所述获取DNS的统计数据，并在统计数据范围内获取疑似DGA域名，具体包括：

在预先设定的DNS流量出入口获取DNS流量数据，并对预设时间段内的DNS流量数据进行统计计算，以获取DNS统计数据；

基于获取的DNS统计数据，使用深度学习或机器学习算法检测出疑似DGA域名。

进一步地，所述抽取疑似DGA域名的行为和文本特征，具体包括：

基于检测出的疑似DGA域名，利用DNS统计数据中DNS全域名抽取出疑似DGA域名的文件特征；

抽取DNS统计数据中的域名访问量和/或访问终端数作为行为特征。