一种基于域名请求伴随关系的恶意域名检测方法

作者：彭成维; 云晓春^*; 张永铮; 李书豪

来源：计算机研究与发展, 2019, 56(06): 1263-1274.

• 域名请求
• 请求伴随
• 恶意域名
• 时间序列切割
• 向量化表示
• 域名分类

恶意域名在网络非法攻击活动中承担重要的角色.恶意域名检测能够有效地减少攻击活动所带来的经济损失.提出CoDetector恶意域名检测模型,通过挖掘域名请求之间潜在的时空伴随关系进行恶意域名检测.研究发现域名请求之间存在彼此伴随关系,而并非相互独立.因此,彼此伴随的域名之间存在紧密关联,偏向于同时是正常域名或恶意域名.1)利用域名请求的先后时间顺序对域名数据进行粗粒度的聚类操作,将彼此伴随出现的域名划分到同一簇中;2)采用嵌入学习构建映射函数,在保留域名伴随关系的同时将每一个域名投影成低维空间的特性向量;3)结合有标记的数据,训练恶意域名检测分类器,用于检测更多未知恶意域名.实验结果表明,CoDetector能够有效地检测恶意域名,具有91.64%检测精度和96.04%召回率.

• 单位
  中国科学院信息工程研究所; 中国科学院大学; 中国科学院计算技术研究所