[发明专利]基于混合学习的Domain-flux僵尸网络检测方法

摘要

本发明涉及基于混合学习的Domain‑flux僵尸网络检测方法，输入的DNS数据区分训练数据集和检测数据集，分别预处理并将预处理后的训练数据集输入模型，训练得到分类器，将预处理后的检测数据集输入分类器，输出聚类后的域名簇，计算域名簇分值并筛选属于Domain‑flux僵尸网络域名的簇，获得受感染主机IP地址及C&C服务器IP地址。本发明为后续防御措施奠定基础，解析时使用和域名、时间、请求IP、解析IP等多方相关的特征，不容易被绕过；兼顾有监督和无监督学习优势，结合分类和聚类算法，可有效检测与训练集差异较大、表现形式不同的未知僵尸样本，相较其他聚类算法检测速度快。

主权项

1.一种基于混合学习的Domain‑flux僵尸网络检测方法，其特征在于：所述方法包括以下步骤：步骤1：将输入的DNS数据分为训练数据集和检测数据集；步骤2：分别对训练数据集和检测数据集进行预处理；步骤3：将预处理后的训练数据集输入模型进行训练，得到分类器；步骤4：将预处理后的检测数据集输入分类器，分类器输出对检测数据的预划分；以该预划分为初始状态，使用改进的Kmeans算法对检测数据进行聚类分析，输出聚类后的域名簇；步骤5：基于聚类结果对所有域名簇进行分值计算；基于计算结果判断是否存在任一域名簇为属于Domain‑flux僵尸网络域名的簇，若存在，则输出符合条件的所有域名簇内的所有域名，进行下一步，若不存在，则等待下一批检测数据集，进行预处理后返回步骤4；步骤6：基于输出的所有域名分别获得受感染主机的IP地址及由Domain‑flux域名解析得到的C&C服务器的IP地址，等待下一批检测数据集，进行预处理后返回步骤4。