伪随机域名检测方法、装置和程序产品与流程

本申请涉及网络安全，尤其涉及一种伪随机域名检测方法、装置和程序产品。

背景技术：

1、域名生成算法是僵尸网络中常见的逃逸手段，其旨在通过伪随机算法在短时间内批量生成数万甚至数十万个伪随机域名，攻击者仅从中注册少量作为命令与控制服务器的实际通信地址，由于伪随机域名的数量极其庞大且持续变化，防御方难以预先枚举所有伪随机域名并将其纳入黑名单，这导致传统基于黑名单和规则匹配的检测方式在面对海量伪随机域名时存在严重的覆盖不足与检测滞后问题。

2、对此，为提升伪随机域名的检测精度与效率，相关技术普遍将待测域名的字符序列直接输入到预先训练的域名检测模型中，由域名检测模型自动判别待测域名是否为伪随机域名。然而，相关技术仅依赖于域名字符信息，特征维度相对单一，忽略了其他潜在、关键的特征维度，从而导致伪随机域名的检测精度低下。

技术实现思路

1、本申请的主要目的在于提出一种伪随机域名检测方法、装置和程序产品，旨在有效提升伪随机域名的检测精度。

2、为实现上述目的，本申请的一方面提出了一种伪随机域名检测方法，所述方法包括：

3、获取待测域名的域名属性数据；

4、对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征；

5、将所述字符级特征、所述语义级特征、所述网络级特征和所述时序级特征四者进行特征融合处理，得到所述待测域名的域名融合特征；

6、根据所述域名融合特征，对所述待测域名进行检测处理，得到所述待测域名的检测结果；其中，所述检测结果包括正常域名类型或者伪随机域名类型中的任一项。

7、进一步地，所述字符级特征包括字符嵌入特征、字符深度特征和字符统计特征；所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

8、对所述域名属性数据进行字符序列化和嵌入处理，得到所述字符嵌入特征；

9、对所述域名属性数据进行字符深度特征提取处理，得到所述字符深度特征；

10、对所述域名属性数据进行字符统计运算处理，得到所述字符统计特征。

11、进一步地，所述语义级特征包括生存期语义特征、查询行为语义特征和响应行为语义特征；所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

12、对所述域名属性数据进行生存期语义建模处理，得到所述生存期语义特征；

13、对所述域名属性数据进行查询行为语义建模处理，得到所述查询行为语义特征；

14、对所述域名属性数据进行响应行为语义建模处理，得到所述响应行为语义特征。

15、进一步地，所述网络级特征包括源端网络特征和域名系统网络特征；所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

16、对所述域名属性数据进行源端网络拓扑建模处理，得到所述源端网络特征；

17、对所述域名属性数据进行域名系统网络拓扑建模处理，得到所述域名系统网络特征。

18、进一步地，所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

19、对所述域名属性数据进行时序特征提取处理，得到所述时序级特征。

20、进一步地，所述根据所述域名融合特征，对所述待测域名进行检测处理，得到所述待测域名的检测结果，包括：

21、根据所述域名融合特征，结合预先训练的域名识别模型，对所述待测域名进行检测处理，得到所述待测域名的检测概率；

22、若所述检测概率大于概率阈值，则将所述检测结果确定为所述伪随机域名类型，否则将所述检测结果确定为所述正常域名类型。

23、进一步地，所述方法还包括：

24、根据所述域名属性数据和预设的基准阈值，确定所述概率阈值。

25、进一步地，所述方法还包括如下至少一项：

26、根据所述检测结果，对所述待测域名进行可解释性分析处理，得到所述待测域名的可解释性分析结果；

27、在所述检测结果为所述伪随机域名类型的情况下，对所述待测域名进行处置处理。

28、为实现上述目的，本申请的另一方面提出了一种伪随机域名检测装置，所述装置包括：

29、数据获取模块，用于获取待测域名的域名属性数据；

30、特征提取模块，用于对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征；

31、特征融合模块，用于将所述字符级特征、所述语义级特征、所述网络级特征和所述时序级特征四者进行特征融合处理，得到所述待测域名的域名融合特征；

32、域名检测模块，用于根据所述域名融合特征，对所述待测域名进行检测处理，得到所述待测域名的检测结果；其中，所述检测结果包括正常域名类型或者伪随机域名类型中的任一项。

33、为实现上述目的，本申请的另一方面提出了一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现上述的一种伪随机域名检测方法。

34、根据本申请提供的一种伪随机域名检测方法、装置和程序产品，首先从待测域名的域名属性数据中提取字符级、语义级、网络级和时序级四个层级的浅层域名特征，获得待测域名的字符级特征、语义级特征、网络级特征和时序级特征，其中，字符级特征捕捉待测域名自身的构词规律和伪随机程度，语义级特征捕捉待测域名在dns层面的行为语义，网络级特征捕捉待测域名在网络访问层面下与查询、响应等相关联的网络拓扑特性，时序级特征捕捉待测域名在时间维度上的演化规律，然后将上述四个层级的特征进行特征融合处理，旨在实现跨层级的特征交互与融合，从而进一步挖掘待测域名隐藏在字符级、语义级、网络级和时序级四个层级中的深层域名特征，获得待测域名的域名融合特征，最后基于待测域名的域名融合特征对待测域名进行检测处理，获得待测域名的检测结果，其中，检测结果包括正常域名类型或者伪随机域名类型中的任一项，如此，通过依据域名在字符级、语义级、网络级和时序级四个层级的关键特征信息，对伪随机域名进行精准检测，使得伪随机域名的检测过程不仅保留有对域名字符静态特性的感知能力，还进一步具备对域名行为语义意图、域名网络拓扑特性以及域名时间演化规律等动态特性的感知能力，从而有效提升伪随机域名的检测精度。

35、本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的目的和其他优点可通过在说明书以及附图中所特别指出的结构来实现和获得。

1.一种伪随机域名检测方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述字符级特征包括字符嵌入特征、字符深度特征和字符统计特征；所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

3.根据权利要求1所述的方法，其特征在于，所述语义级特征包括生存期语义特征、查询行为语义特征和响应行为语义特征；所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

4.根据权利要求1所述的方法，其特征在于，所述网络级特征包括源端网络特征和域名系统网络特征；所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

5.根据权利要求1所述的方法，其特征在于，所述对所述域名属性数据进行多级特征提取处理，得到所述待测域名的字符级特征、语义级特征、网络级特征和时序级特征，包括：

6.根据权利要求1所述的方法，其特征在于，所述根据所述域名融合特征，对所述待测域名进行检测处理，得到所述待测域名的检测结果，包括：

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

8.根据权利要求1-7任一项所述的方法，其特征在于，所述方法还包括如下至少一项：

9.一种伪随机域名检测装置，其特征在于，所述装置包括：

10.一种计算机程序产品，包括计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至8中任一项所述的一种伪随机域名检测方法。