基于域名解析会话模式分析的恶意域名检测方法及装置的制造方法
【技术领域】
[0001] 本发明涉及网络安全技术领域，具体而言涉及一种基于域名解析会话模式分析的 恶意域名检测方法及装置。
【背景技术】
[0002] 随着网络技术的飞速发展和网络时代的到来，网络所蕴含的广阔而丰富的资源， 给人类社会带来了很多便利。然而，就在人们的生活越来越依赖网络的同时，由利益驱动 而产生的网络安全事件却层出不穷，尤其在近几年，僵尸网络、域名放大分布式拒绝服务攻 击、挂马等众多安全事件严重影响了网络的正常使用，也给社会各界带来了极大的危害，因 此对这些事件的检测显得额外的重要。
[0003] 域名系统是当前互联网重要的基础设施之一，大量的网络服务依赖于域名服务来 开展。域名解析服务（DNS)将抽象的IP地址映射为易于记忆的域名，使互联网用户更加方 便地访问各种网络资源，是互联网体系结构中重要的基础服务之一。由于域名系统并不对 依托于其开展的服务行为进行检测，DNS服务缺少恶意行为检测能力，因此常常被恶意程序 利用。为了检测这些恶意事件，需要对恶意域名进行检测。
[0004] 现在已有的一些检测恶意域名的技术常常依赖于黑白名单，通过明确地"允许"和 "不允许"来限制用户的访问，从而实现"安全性"效果。然而，这样的方法往往伴随着大量 误报和漏报状况，不同用户环境、业务需求场景下适应性极差。
【发明内容】
[0005] 针对现有技术的不足，一方面，本发明提供一种基于域名解析会话模式分析的恶 意域名检测方法，所述恶意域名检测方法包括：获取网络中的通信数据；对所述通信数据 进行解析，以提取出所述通信数据中涉及到的源主机的IP、所述源主机所查询的域名以及 查询所述域名的时间；以及查询域名风险等级数据库，以确定所述源主机所查询的域名是 否存在于所述域名风险等级数据库中，如果存在，则从所述域名风险等级数据库中取出并 呈现与所述域名相对应的风险等级结果，如果不存在，则对所述域名进行风险等级评估并 呈现风险等级评估结果，其中，所述风险等级评估包括域名注册信息关联分析和高频访问 名单分析，所述域名注册信息关联分析和所述高频访问名单分析分别被分配第一权重和第 二权重，所述域名注册信息关联分析判定所述域名的注册信息的全面性和/或真实性，并 基于判定结果和所述第一权重计算所述域名的第一风险分值，所述高频访问名单分析判定 所述域名当前和在过去的预设时间段内是否均在或者是否均不在所述源主机访问频率最 高的前若干位域名名单内，并基于判定结果和所述第二权重计算所述域名的第二风险分 值，所述风险等级评估结果的计算基于所述第一风险分值和所述第二风险分值。
[0006] 在本发明的一个实施例中，所述风险等级评估还包括异常心跳分析，所述异常心 跳分析被分配第三权重，所述异常心跳分析判定所述源主机在单位时间间隔内对所述域名 的查询请求是否存在规律性，并基于判定结果和所述第三权重计算所述域名的第三风险分 值，并且所述风险等级评估结果的计算还基于所述第三风险分值。
[0007] 在本发明的一个实施例中，所述风险等级评估还包括子域名语义分析，所述子域 名语义分析被分配第四权重，所述子域名语义分析判定所述源主机所查询的域名的子域名 是否具有实际意义，并基于判定结果和所述第四权重计算所述域名的第四风险分值，并且 所述风险等级评估结果的计算还基于所述第四风险分值。
[0008] 在本发明的一个实施例中，所述风险等级评估还包括故障监测分析，所述故障监 测分析被分配第五权重，所述故障监测分析用于在所述域名的域名服务器发生故障时监测 对所述域名服务器发送重新查询请求的主机数目，并基于监测结果和所述第五权重计算所 述域名的第五风险分值，并且所述风险等级评估结果的计算还基于所述第五风险分值。
[0009] 在本发明的一个实施例中，所述风险等级评估还包括搜索引擎收录情况分析，所 述搜索引擎收录情况分析被分配第六权重，所述搜索引擎收录情况分析判定所述域名是否 被搜索引擎所收录并分析搜索引擎对所述域名的网页级别评分，并基于分析判定结果和所 述第六权重计算所述域名的第六风险分值，并且所述风险等级评估结果的计算还基于所述 第六风险分值。
[0010] 在本发明的一个实施例中，所述风险等级评估还包括互联网档案馆分析，所述互 联网档案馆分析被分配第七权重，所述互联网档案馆分析用于在互联网档案馆中查询并分 析所述域名的历史活动记录和/或历史快照，并基于分析结果和所述第七权重计算所述域 名的第七风险分值，并且所述风险等级评估结果的计算还基于所述第七风险分值。
[0011] 在本发明的一个实施例中，所述恶意域名检测方法还包括：在进行风险等级评估 之后，将所述域名以及与所述域名相对应的所述风险等级评估结果录入到所述域名风险等 级数据库中。
[0012] 另一发明，本发明还提供一种基于域名解析会话模式分析的恶意域名检测装置， 所述恶意域名检测装置包括：数据获取模块，用于获取网络中的通信数据；数据解析模块， 用于对所述通信数据进行解析，以提取出所述通信数据中涉及到的源主机的IP、所述源主 机所查询的域名以及查询所述域名的时间；数据查询模块，用于查询域名风险等级数据库， 以确定所述源主机所查询的域名是否存在于所述域名风险等级数据库中；域名风险等级评 估模块，用于在所述域名风险等级数据库中不存在所述源主机所查询的域名时对所述域名 进行风险等级评估；以及评估结果显示模块，用于在所述域名风险等级数据库中存在所述 源主机所查询的域名时呈现从所述域名风险等级数据库中提取的与所述域名相对应的风 险等级结果，并且在所述域名风险等级数据库中不存在所述源主机所查询的域名时呈现所 述域名风险等级评估模块对所述域名的风险等级评估结果，其中，所述域名风险等级评估 模块包括：域名注册信息关联分析模块，用于判定所述域名的注册信息的全面性和/或真 实性并基于判定结果和所分配的第一权重计算所述域名的第一风险分值；以及高频访问名 单分析模块，用于判定所述域名当前和在过去的预设时间段内是否均在或者是否均不在所 述源主机访问频率最高的前若干位域名名单内并基于判定结果和所分配的第二权重计算 所述域名的第二风险分值，其中，所述风险等级评估结果的计算基于所述第一风险分值和 所述第二风险分值。
[0013] 在本发明的一个实施例中，所述域名风险等级评估模块还包括以下模块中的至少 一个：异常心跳分析模块，用于判定所述源主机在单位时间间隔内对所述域名的查询请求 是否存在规律性，并基于判定结果和所分配的第三权重计算所述域名的第三风险分值；子 域名语义分析模块，用于判定所述源主机所查询的域名的子域名是否具有实际意义，并基 于判定结果和所分配的第四权重计算所述域名的第四风险分值；故障监测分析模块，用于 在所述域名的域名服务器发生故障时监测对所述域名服务器发送重新查询请求的主机数 目，并基于监测结果和所分配的第五权重计算所述域名的第五风险分值；搜索引擎收录情 况分析模块，用于判定所述域名是否被搜索引擎所收录并分析搜索引擎对所述域名的网页 级别评分，并基于分析判定结果和所分配的第六权重计算所述域名的第六风险分值；以及 互联网档案馆分析模块，用于在互联网档案馆中查询并分析所述域名的历史活动记录和/ 或历史快照，并基于分析结果和所分配的第七权重计算所述域名的第七风险分值，其中，所 述风险等级评估结果的计算还基于以下中的至少一个：所述第三风险分值、所述第四风险 分值、所述第五风险分值、所述第六风险分值以及所述第七风险分值。
[0014] 在本发明的一个实施例中，所述域名风险等级评估模块还用于将进行了风险等级 评估的域名以及与所述域名相对应的风险等级评估结果录入到所述域名风险等级数据库 中。
[0015] 本发明所提供的基于域名解析会话模式分析的恶意域名检测方法及装置不依赖 黑白名单，能够准确检测未知恶意域名。
【附图说明】
[0016] 本发明的下列附图在此作为本发明的一部分用于理解本发明。附图中示出了本发 明的实施例及其描述，用来解释本发明的原理。
[0017] 附图中：
[0018] 图1示出了根据本发明实施例的基于域名解析会话模式分析的恶意域名检测方 法的流程图；
[0019] 图2示出了根据本发明实施例的异常心跳分析的流程图；以及
[0020] 图3示出了根据本发明实施例的域名风险等级评估模块的架构图。
【具体实施方式】
[0021] 在下文的描述中，给出了大量具体的细节以便提供对本发明更为彻底的理解。然 而，对于本领域技术人员而言显而易见的是，本发明可以无需一个或多个这些细节而得以 实施。在其他的例子中，为了避免与本发明发生混淆，对于本领域公知的一些技术特征未进 行