CN112995361A - 域名知识图谱构建方法、装置、设备及存储介质 - Google Patents

Abstract

本发明公开了一种域名知识图谱构建方法、装置、设备及存储介质。本发明通过从域名系统的域名解析日志中，获取域名知识数据；基于域名知识数据进行网络爬取，以获取关联知识数据；对域名知识数据进行分析，以获取分析类特征数据；根据域名知识数据、关联知识数据和分析类特征数据，构建域名知识图谱，由于域名知识数据是从域名系统的域名解析日志中获取的，域名解析日志反映了用户使用域名系统进行查询的一些行为情况，因此，域名知识图谱可以客观地反映用户使用域名系统的行为，丰富了域名知识图谱的内容；同时，对域名知识数据进行网络爬取和分析，从而增加了域名知识图谱的数据来源，进一步丰富了域名知识图谱的内容。

Description

域名知识图谱构建方法、装置、设备及存储介质

技术领域

本发明涉及数据处理领域，尤其涉及一种域名知识图谱构建方法、装置、设备及存储介质。

背景技术

由于域名系统的关键性和脆弱性，域名系统成为众多攻击者的理想攻击目标，尤其是以恶意域名和非法域名作为承载体的攻击，其数量和威胁都在逐渐增加。钓鱼、外挂等恶意及非法域名对社会生活造成了不良的影响。传统的防御措施是静态黑名单策略，黑名单收录网络上的已知的恶意及非法域名，可以实现一定程度的拦截功能。但是面对网络空间的进一步扩张和网络技术的不断发展，黑名单的更新速度远远跟不上其变化的速度，导致黑名单效果的下降。

知识图谱的出现是为了应对海量数据下的知识表示和查找，它可以很好的表示实体之间的关系，并且通过推理判断得到原本数据中不存在的知识。恶意及非法域名的行为存在的一定关联性，如某些恶意域名/非法域名选择的域名注册商可能相同，查询路由可能相似等。在庞大数据的支撑下，推测可能存在恶意行为和非法内容的域名，挖掘网络黑产业隐含关联关系，实现提前发现，提前防范。

相关技术中，域名知识图谱中包括的内容较少，导致基于域名知识图谱的恶意域名分析结果准确率低。

发明内容

本发明的主要目的在于提供一种域名知识图谱构建方法、装置、设备及存储介质，旨在解决现有域名知识图谱中包括的内容少的问题。

为实现上述目的，本发明提供一种域名知识图谱构建方法，所述域名知识图谱构建方法包括：

从域名系统的域名解析日志中，获取域名知识数据；

基于所述域名知识数据进行网络爬取，以获取关联知识数据；

对所述域名知识数据进行分析，以获取分析类特征数据；

根据所述域名知识数据、所述关联知识数据和所述分析类特征数据，构建域名知识图谱。

可选的，所述从域名系统的域名解析日志中，获取域名知识数据的步骤包括：

从域名系统中获取域名解析日志；

根据预设规则，对所述域名解析日志进行筛选；

从筛选后的域名解析日志中，获取域名知识数据。

可选的，所述域名知识数据包括：目标域名、所述目标域名对应的目标IP地址；

所述基于所述域名知识数据进行网络爬取，以获取关联知识数据的步骤，包括：

基于域名查询协议whois，获取所述目标域名的注册信息；

基于IP地址查询协议IP whois，获取所述目标IP地址的ASN信息；

获取所述目标域名对应的ISP组织、ISP地址前缀和所属ASN的连接关系。

可选的，所述基于所述域名知识数据进行网络爬取，以获取关联知识数据的步骤，还包括：

通过网络查询所述目标域名对应的第一关联IP地址；

获取所述第一关联IP地址和所述目标IP地址对应的第一关联域名；

获取所述第一关联域名对应的第二关联IP地址；

获取所述第一关联域名的注册信息；

获取所述第一关联IP地址的ASN信息和所述第二关联IP地址的ASN信息；

获取所述目标域名和所述第一关联域名的子域名。

可选的，所述基于所述域名知识数据进行网络爬取，以获取关联知识数据的步骤，还包括：

通过网络爬取所述目标IP地址对应的第二关联域名；

获取所述第二关联域名对应的第三关联IP地址；

获取所述第三关联IP地址的ASN信息；

获取所述第二关联域名的注册信息以及子域名。

可选的，所述对所述域名知识数据进行分析，以获取分析类特征数据步骤，包括以下方式中的至少一种：

对所述目标域名的业务进行分析，以获取所述目标域名的恶意域名属性信息；

对所述目标域名的业务进行分析，以获取所述目标域名的域名主题类型信息；

对所述目标域名的查询路由进行分析，以获取所述目标域名的域名查询路由信息。

可选的，所述域名知识图谱包括：域名节点信息、IP节点信息、注册代理商节点信息、域名使用单位节点信息、管理节点信息、技术提供商节点信息、付费单位节点信息、国家节点信息、域名主题类型节点信息、ASN节点信息、ISP节点信息、ISP地址前缀节点信息、恶意域名标签节点信息以及各节点之间的关系。

此外，为实现上述目的，本发明还提出一种域名知识图谱构建装置，所述域名知识图谱构建装置包括：

获取模块，用于从域名系统的域名解析日志中，获取域名知识数据；

爬取模块，用于基于所述域名知识数据进行网络爬取，以获取关联知识数据；

分析模块，用于对所述域名知识数据进行分析，以获取分析类特征数据；

构建模块，用于根据所述域名知识数据、所述关联知识数据和所述分析类特征数据，构建域名知识图谱。

此外，为实现上述目的，本发明还提出一种域名知识图谱构建设备，其特征在于，所述域名知识图谱构建设备包括：存储器、处理器及存储在所述存储器上并在所述处理器上运行的域名知识图谱构建程序，所述域名知识图谱构建程序被所述处理器执行时实现上述任一项所述的域名知识图谱构建方法的步骤。

此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有域名知识图谱构建程序，所述域名知识图谱构建程序被处理器执行时实现上述任一项所述的域名知识图谱构建方法的步骤。

本发明提供的技术方案，通过从域名系统的域名解析日志中，获取域名知识数据；基于域名知识数据进行网络爬取，以获取关联知识数据；对域名知识数据进行分析，以获取分析类特征数据；根据域名知识数据、关联知识数据和分析类特征数据，构建域名知识图谱，由于域名知识数据是从域名系统的域名解析日志中获取的，域名解析日志反映了用户使用域名系统进行查询的一些行为情况，因此，域名知识图谱可以客观地反映用户使用域名系统的行为，丰富了域名知识图谱的内容；同时，由于本发明中，会对域名知识数据进行网络爬取和分析，从而增加了域名知识图谱的数据来源，进一步丰富了域名知识图谱的内容。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的域名知识图谱构建设备结构示意图；

图2为本发明域名知识图谱构建方法第一实施例的流程示意图；

图3为本发明域名知识图谱的结构示意图一；

图4为本发明域名知识图谱的结构示意图二；

图5为本发明域名知识图谱构建装置第一实施例的结构框图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明实施例方案涉及的硬件运行环境的域名知识图谱构建设备结构示意图。

域名知识图谱构建设备可以是移动电话、智能电话、笔记本电脑、数字广播接收器、个人数字助理(PDA)、平板电脑(PAD)等用户设备(User Equipment，UE)、手持设备、车载设备、可穿戴设备、计算设备、监控设备、服务器或连接到无线调制解调器的其它处理设备、移动台(Mobile Station，MS)等。

通常，域名知识图谱构建设备包括：至少一个处理器101、存储器102以及存储在所述存储器上并可在所述处理器上运行的域名知识图谱构建程序，所述域名知识图谱构建程序配置为实现如下任一实施例所述的域名知识图谱构建方法的步骤。

处理器101可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器101可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(FieldProgrammable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器101也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器101可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。处理器101还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关域名知识图谱构建方法操作，使得域名知识图谱构建方法模型可以自主训练学习，提高效率和准确度。

存储器102可以包括一个或多个存储介质，该存储介质可以是非暂态的。存储器102还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器102中的非暂态的存储介质用于存储至少一个指令，该至少一个指令用于被处理器101所执行以实现本申请中方法实施例提供的域名知识图谱构建方法。

在一些实施例中，域名知识图谱构建设备还可选包括有：通信接口103和至少一个外围设备。处理器101、存储器102和通信接口103之间可以通过总线或信号线相连。各个外围设备可以通过总线、信号线或电路板与通信接口103相连。具体地，外围设备包括：射频电路104、显示屏105和电源106中的至少一种。

通信接口103可被用于将I/O(Input/Output，输入/输出)相关的至少一个外围设备连接到处理器101和存储器102。在一些实施例中，处理器101、存储器102和通信接口103被集成在同一芯片或电路板上；在一些其他实施例中，处理器101、存储器102和通信接口103中的任意一个或两个可以在单独的芯片或电路板上实现，本实施例对此不加以限定。

射频电路104用于接收和发射RF(Radio Frequency，射频)信号，也称电磁信号。射频电路104通过电磁信号与通信网络以及其他通信设备进行通信。射频电路104将电信号转换为电磁信号进行发送，或者，将接收到的电磁信号转换为电信号。可选地，射频电路104包括：天线系统、RF收发器、一个或多个放大器、调谐器、振荡器、数字信号处理器、编解码芯片组、用户身份模块卡等等。射频电路104可以通过至少一种无线通信协议来与其它终端进行通信。该无线通信协议包括但不限于：城域网、各代移动通信网络(2G、3G、4G及5G)、无线局域网和/或WIFI(Wireless Fidelity，无线保真)网络。在一些实施例中，射频电路104还可以包括NFC(Near Field Communication，近距离无线通信)有关的电路，本申请对此不加以限定。

显示屏105用于显示UI(User Interface，用户界面)。该UI可以包括图形、文本、图标、视频及其它们的任意组合。当显示屏105是触摸显示屏时，显示屏105还具有采集在显示屏105的表面或表面上方的触摸信号的能力。该触摸信号可以作为控制信号输入至处理器101进行处理。此时，显示屏105还可以用于提供虚拟按钮和/或虚拟键盘，也称软按钮和/或软键盘。在一些实施例中，显示屏105可以为一个，电子设备的前面板；在另一些实施例中，显示屏105可以为至少两个，分别设置在电子设备的不同表面或呈折叠设计；在再一些实施例中，显示屏105可以是柔性显示屏，设置在电子设备的弯曲表面上或折叠面上。甚至，显示屏105还可以设置成非矩形的不规则图形，也即异形屏。显示屏105可以采用LCD(LiquidCrystal Display，液晶显示屏)、OLED(Organic Light Emitting Diode,有机发光二极管)等材质制备。

电源106用于为电子设备中的各个组件进行供电。电源106可以是交流电、直流电、一次性电池或可充电电池。当电源106包括可充电电池时，该可充电电池可以支持有线充电或无线充电。该可充电电池还可以用于支持快充技术。

本领域技术人员可以理解，图1中示出的结构并不构成对域名知识图谱构建设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

此外，本发明实施例还提出一种存储介质，所述存储介质上存储有域名知识图谱构建程序，所述域名知识图谱构建程序被处理器执行时实现如下文任一实施例所述的域名知识图谱构建方法的步骤。因此，这里将不再进行赘述。另外，对采用相同方法的有益效果描述，也不再进行赘述。对于本申请所涉及的存储介质实施例中未披露的技术细节，请参照本申请方法实施例的描述。确定为示例，程序指令可被部署为在一个计算设备上执行，或者在位于一个地点的多个计算设备上执行，又或者，在分布在多个地点且通过通信网络互连的多个计算设备上执行。

本领域普通技术人员可以理解实现下文任一实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述域名知识图谱构建程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如下述各方法的实施例的流程。其中，上述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

相关技术中，域名知识图谱通常基于域名服务器体系内，域名和IP地址的映射关系构建，从而导致域名知识图谱只包括域名和IP地址的树状知识图谱，进而导致域名知识图谱中包括的内容少。

为了解决上述技术问题，基于上述硬件结构，提出本发明的各实施例。

域名知识图谱构建方法实施例。

参照图2，图2为本发明域名知识图谱构建方法第一实施例的流程示意图。本发明实施例中，域名知识图谱构建方法包括以下步骤：

步骤S21：从域名系统的域名解析日志中，获取域名知识数据。

应当理解的是，域名系统（Domain Name System，DNS）是Internet（因特网）上解决网上机器命名的一种系统。它作为将域名和IP（Internet Protocol，互联网协议）地址相互映射的一个分布式数据库，能够使人更方便地访问互联网，而不用去记住能够被机器直接读取的IP地址数串。

当用户在域名解析请求端输入目标域名（即待解析的域名）后，域名解析请求端会将目标域名发送至服务器，服务器基于目标域名生成域名解析请求发送至域名系统，为响应域名解析请求，域名系统会对域名解析请求中的目标域名进行解析，查询到目标域名对应的目标IP地址，基于目标IP地址生成域名解析响应发送至服务器，并生成域名解析日志。

本发明实施例中，从域名系统中，获取域名解析日志，并从域名解析日志中，获取域名知识数据。其中，域名知识数据包括目标域名、目标域名对应的目标IP地址，域名知识数据还可以包括目标域名的CNAME（别名信息）、域名解析请求端的请求端IP地址等。

在一些实施方式中，考虑到域名系统中可能存在无效的域名解析日志，因此，步骤S21可以包括：

步骤S211：从域名系统中获取域名解析日志。

其中，可以定时从域名系统中获取域名解析日志。例如，可以每隔1小时从域名系统中获取域名解析日志。当然，具体间隔时间可以根据实际需要灵活设置。

步骤S212：根据预设规则，对域名解析日志进行筛选。

在从域名系统中获取域名解析日志之后，根据预设规则，对获取的域名解析日志进行筛选，从而过滤掉无效的域名解析日志。

其中，预设规则可以根据实际需要灵活设置。

在一些实施方式中，预设规则可以设置为删除不存在IP地址的域名解析日志、删除不存在CNAME响应记录的域名解析日志、删除命名不合法的域名解析日志等中的至少一种。例如，假设预设规则为删除不存在IP地址的域名解析日志，则从获取到的域名解析日志中，删除不存在IP地址的域名解析日志，从而对获取到的域名解析日志进行筛选。

步骤S213：从筛选后的域名解析日志中，获取域名知识数据。

本发明实施例中，对域名解析日志进行筛选后，从剩余的域名解析日志中，获取域名知识数据。

在一些实施方式中，可以从域名解析日志的domain_info字段，获取目标域名，从域名解析日志的IP地址列表字段，获取目标IP地址。

当然，在一些实施方式中，还可以从域名解析日志对应的字段中，获取目标域名的CNAME、请求端IP地址等。

步骤S22：基于域名知识数据进行网络爬取，以获取关联知识数据。

本发明实施例中，在获取域名知识数据后，为了丰富域名知识图谱的内容，基于域名知识数据，进行网络爬取，以获取关联知识数据。其中，网络爬取的数据库包括但不限于：whois（域名查询协议）、IP whois（IP地址查询协议）、网站服务器等。

应当理解的是，whois是用来查询域名标识的IP及其所有者等信息的传输协议。简单地说，whois就是一个用来查询域名标识是否已经被注册，以及注册域名标识的详细信息的数据库（例如域名标识所有人、域名标识注册商等）。通过whois可以实现对域名标识相关信息的查询与爬取。whois通常使用TCP（Transmission Control Protocol，传输控制协议）协议43端口。每个域名或IP的whois信息由对应的管理机构保存。不同域名后缀的whois信息需要到不同的whois数据库查询。whois是当前域名系统中不可或缺的一项信息服务，在使用域名标识进行Internet访问时，很多用户希望进一步了解域名、名字服务器的详细信息，这时就会用到whois功能。对于域名标识的注册服务机构而言，需要确认域名数据是否已经正确注册到域名注册中心，也经常会用到whois功能。在知识图谱中，whois信息将作为域名的重要属性进行嵌入，为后续的智能分析提供有效知识支撑。

IP whois是IP的详细信息的数据库(如IP使用人和IP使用人的相关信息等)，通过IP whois来实现对IP地址详细信息的查询。

在一些实施方式中，爬取到的关联知识数据包括但不限于以下中的至少一种：“所属whois服务器”、“所属注册代理商”、“所属名字服务器”、“所属域名使用单位”、“所属管理单位”、“所属付费单位”、“所属域名用户单位”、“所属国家”、“所属技术提供商”、“所属注册代理商”、“子域名”、“所属自治系统”、“所属自治网络前缀”、“所属ISP（Internet ServiceProvider，互联网服务提供商）组织”、“ISP网络前缀”、“ASN（Autonomous System Number，自治系统号）直连（即域名或IP地址所属ASN与其他ASN的连接关系）”等。此处的“所属”针对IP地址或域名，例如，“所属注册代理商”为域名所属注册代理商。

步骤S23：对域名知识数据进行分析，以获取分析类特征数据。

本发明实施例中，在获取域名知识数据后，对域名知识数据进行分析，从而得到分析类特征数据。其中，分析的方式、分析的内容可以根据实际需要灵活设置。

在一些方法方式中，步骤S23包括但不限于以下方式中的至少一种：

方式一：对目标域名的业务进行分析，以获取目标域名的恶意域名属性信息。

考虑到钓鱼、外挂等恶意及非法网站对社会生活造成了不良的影响，本发明实施例中，可以对目标域名对应的网站所提供的业务进行分析，以判断目标域名是否为恶意域名，以及恶意域名属性信息。

判断目标域名是否为恶意域名的方式可以根据实际需要灵活设置。在一些实施方式中，可以基于目标域名对应的网站上的内容，进行语义分析，以判断目标域名是否为恶意域名。或者，基于已建立的域名知识图谱，判断目标域名是否为恶意域名，例如，在域名知识图谱中，查找与目标域名相关的域名，根据相关域名对应的恶意域名属性信息，判断目标域名是否为恶意域名，具体判断方式可以根据实际需要灵活设置，在一个示例中，若相关域名中，超过预设比例的域名为恶意域名，则可以判断目标域名为恶意域名；其中，相关域名可以是与目标域名的IP地址相同、或CNAME相同的域名。

其中，恶意域名属性信息包括但不限于：子域名个数、二级域名长度、子域名前缀平均长度、子域名前缀平均层级数、子域名中字符的平均随机长度、数字字符的长度占域名总长度的比例、域名中元音字母的比例、最长可读字串长度比、恶意内容特征、域名的TTL（Time To Live，生存时间）等内容。其中，恶意内容特征对应的类别包括但不限于：网络钓鱼、外挂等。

方式二：对目标域名的业务进行分析，以获取目标域名的域名主题类型信息。

其中，主题的类型包括但不限于：休闲娱乐、生活服务、网上购物、网络科技、体育健身、旅游出行、新闻媒体、教育文化、医疗健康、政府组织等主题类型。

本发明实施例，可以对目标域名对应的网站所提供的业务进行分析，以获取目标域名的域名主题类型信息。在一个示例中，可以基于目标域名对应的网站上的内容，进行语义分析，并基于语义分析结果，确定域名主题类型。

方式三：对目标域名的查询路由进行分析，以获取目标域名的域名查询路由信息。

考虑到恶意域名的查询路由可能相似，因此，可以对目标域名的查询路由进行分析，以获取目标域名的域名查询路由信息。

其中，域名查询路由是指查询目标域名标识时递归解析器查询经历过的域名服务器的串行路径，即查询目标域名对应的目标IP地址的过程中，依次经历过的域名服务器。例如，假设目标域名是“www.baidu.com”，先查找到“.com”对应的域名服务器，再基于“.com”对应的域名服务器查找到“.baidu.com”对应的域名服务器，基于“.baidu.com”对应的域名服务器查询到“www.baidu.com”对应的IP地址，域名查询路由为：“.com”对应的域名服务器、“.baidu.com”对应的域名服务器。

需要说明的是，本发明实施例中的分析方式包括但不限于上述三种分析方式。

步骤S24：根据域名知识数据、关联知识数据和分析类特征数据，构建域名知识图谱。

本发明实施例中，根据获取的域名知识数据、关联知识数据、分析类特征数据，构造对应的节点以及各节点之间的关系，并存储在知识图谱数据库中，从而构建域名知识图谱。

本发明实施例提供的域名知识图谱构建方法，通过从域名系统的域名解析日志中，获取域名知识数据；基于域名知识数据进行网络爬取，以获取关联知识数据；对域名知识数据进行分析，以获取分析类特征数据；根据域名知识数据、关联知识数据和分析类特征数据，构建域名知识图谱，由于域名知识数据是从域名系统的域名解析日志中获取的，域名解析日志反映了用户使用域名系统进行查询的一些行为情况，因此，域名知识图谱可以客观地反映用户使用域名系统的行为，丰富了域名知识图谱的内容；同时，由于本发明中，会对域名知识数据进行网络爬取和分析，从而增加了域名知识图谱的数据来源，进一步丰富了域名知识图谱的内容。

基于第一实施例，提出本发明域名知识图谱构建方法第二实施例。本发明实施例中，域名知识数据包括：目标域名、目标域名对应的目标IP地址。步骤S22包括以下步骤：

步骤S221：基于whois，获取目标域名的注册信息。

本发明实施例中，通过网络查询whois，以获取目标域名的注册信息。其中，目标域名的注册信息包括但不限于以下中的至少一种：注册代理商、域名使用单位、付费单位、管理节点、技术提供商等信息。

步骤S222：基于IP whois，获取目标IP地址所属的ASN信息。

其中，通过网络查询IP whois，以获取目标IP地址的ASN信息。

步骤S223：获取目标域名对应的ISP组织、ISP地址前缀和所属ASN的连接关系。

需要说明的是，ISP是指面向公众提供下列信息服务的经营者：一是接入服务，即帮助用户接入Internet；二是导航服务，即帮助用户在Internet上找到所需要的信息；三是信息服务，即建立数据服务系统，收集、加工、存储信息，定期维护更新，并通过网络向用户提供信息内容服务。

本发明实施例中，可以获取目标域名对应的ISP组织、该ISP组织的地址前缀、所属的ASN的连接关系。

在一些实施方式中，可以通过爬取全球ASN节点信息，以获取目标域名对应的ISP组织、ISP地址前缀和所属ASN的连接关系。

本发明实施例提供的域名知识图谱构建方法中，基于whois，获取目标域名的注册信息；基于IP whois，获取目标IP地址所属的ASN信息；并获取目标域名对应的ISP组织、ISP地址前缀和所属ASN的连接关系，以作为域名知识图谱的数据来源，从而丰富域名知识图谱的内容。

基于前述实施例，提出本发明域名知识图谱构建方法第三实施例。本发明实施例中，步骤S22还可以包括以下步骤：

步骤S224：通过网络查询目标域名对应的第一关联IP地址。

本发明实施例中，通过网络查询目标域名对应的IP地址，作为第一关联IP地址。

步骤S225：获取第一关联IP地址和目标IP地址对应的第一关联域名。

本发明实施例中，针对第一关联IP地址和目标IP地址，通过网络爬取，获取对应的域名，作为第一关联域名。

步骤S226：获取第一关联域名对应的第二关联IP地址。

本发明实施例中，针对第一关联域名，通过网络爬取对应的IP地址，从而得到第二关联IP地址。

步骤S227：获取第一关联域名的注册信息。

本发明实施例中，在得到第一关联域名后，查询whois，以获取第一关联域名的注册信息。

步骤S228：获取第一关联IP地址的ASN信息和第二关联IP地址的ASN信息。

本发明实施例中，在获取第一关联IP地址和第二关联IP地址后，查询IP whois，获取第一关联IP地址的ASN信息和第二关联IP地址的ASN信息。

步骤S229：获取目标域名和第一关联域名的子域名。

本发明实施例中，还会查询目标域名和第一关联域名的子域名。

本发明实施例中，通过网络查询目标域名对应的第一关联IP地址；获取第一关联IP地址和目标IP地址对应的第一关联域名；获取第一关联域名对应的第二关联IP地址；获取第一关联域名的注册信息；获取第一关联IP地址的ASN信息和第二关联IP地址的ASN信息；获取目标域名和第一关联域名的子域名，从而基于目标域名尽可能的爬取到更多的信息，以丰富域名知识图谱的内容。

基于前述实施例，提出本发明域名知识图谱构建方法第四实施例。本发明实施例中，步骤S22还可以包括以下步骤：

步骤1：通过网络爬取目标IP地址对应的第二关联域名。

考虑到目标IP地址对应的不止一个域名，因此，本发明实施例中，还可以通过网络爬取目标IP地址对应的域名，以作为第二关联域名。

步骤2：获取第二关联域名对应的第三关联IP地址。

为了尽可能多的获取信息，本发明实施例中，还可以通过网络查询第二关联域名对应的IP地址，作为第三关联IP地址。

步骤3：获取第三关联IP地址的ASN信息。

其中，查询IP whois，以获取第三关联IP地址的ASN信息。

步骤4：获取第二关联域名的注册信息以及子域名。

查询whois，获取第二关联域名的注册信息，并通过网络查询第二关联域名的子域名。

本发明实施例中，通过网络爬取目标IP地址对应的第二关联域名；获取第二关联域名对应的第三关联IP地址；获取第三关联IP地址的ASN信息；获取第二关联域名的注册信息以及子域名，从而基于目标IP地址尽可能的爬取到更多的信息，以丰富域名知识图谱的内容。

基于前述实施例，提出本发明域名知识图谱构建方法第五实施例。本发明实施例中，步骤S24包括：

步骤S241：基于域名知识数据，构建域名知识图谱。

在一些实施方式中，域名知识数据包括目标域名、目标域名对应的目标IP地址、目标域名的CNAME以及目标域名的子域名。因此，参见图3所示，构建的域名知识图谱包括：域名（即图3中的“weather…”）、域名对应的IP地址（即图3中的响应IP对应的“17.56.48…”）、域名对应的CNAME（即图3中的CNAME解析对应的“weather1…”）、域名对应的子域名（即图3中的子域名对应的“Apple-d…”）。

步骤S242：基于关联知识数据更新域名知识图谱。

基于域名知识数据构建的域名知识图谱包括的信息较少，因此，基于关联知识数据更新域名知识图谱。

步骤S243：基于分析类特征数据，更新域名知识图谱。

在获取分析类特征数据后，基于分析类特征数据，更新域名知识图谱，以丰富域名知识图谱的内容。

参见图4所示，图4为更新后的域名知识图谱的一种示例，其包括域名（例如图4中的“Smit.co…”、“zhaopin…”、“wps.cn…”、“sinaimg…”）、域名对应的子域名、域名所属名字服务器、域名对应的IP、域名所属注册代理商、所属国家、所属自治系统、自治系统的网络前缀、所属域名主题类型、恶意域名属性等。

本发明实施例中，先基于域名知识数据，构建域名知识图谱；再基于关联知识数据、分析类特征数据对域名知识图谱进行知识补全，从而丰富域名知识图谱的内容。

基于前述实施例，提出本发明域名知识图谱构建方法第六实施例。本发明实施例中，域名知识图谱包括：域名节点信息、IP节点信息、注册代理商节点信息、域名使用单位节点信息、管理节点信息、技术提供商节点信息、付费单位节点信息、国家节点信息、域名主题类型节点信息、ASN节点信息、ISP节点信息、ISP地址前缀节点信息、恶意域名标签节点信息以及各节点之间的关系。

其中，域名节点信息，可以包含如下信息中的至少一种：updated_date_list（更新时间列表），dnssec（是否启用security），expiration_date_list（过期时间列表），whois_server（whois服务器），registrar（注册代理商），referral_url（URL），name_servers（名字服务器），emails（邮件列表），creation_date_list（创建时间列表），registrant_name（用户使用单位名称），domain_name_id（域名ID），admin_id（管理单位ID），billing_id（付费单位ID），name_server_ids（名字服务器ID列表），domain_status（域名状态），phone（联系电话），fax（传真），owner_c（用户使用单位联系方式），nsstat（统计信息），nslastaa（统计信息），saci（附属性信息），nic_hdl_br（网络附属性信息），country_code（国家代码），tech（技术单位信息），description（描述），source（源信息），domain_id（域名ID），domain（域名名称），ip（IP地址信息），CNAME（别名信息）。

IP节点信息，可以包含如下信息中的至少一种：nir（网络注册信息），asn_registry（ASN运营商），asn（ASN编号），asn_cidr（ASN路由前缀），asn_country_code（ASN所属国家），asn_date（ASN注册时间），asn_description（ASN描述信息），operater（归属地）。

注册代理商节点信息，可以包含如下信息中的至少一种：registrar_url（注册代理商URL），registrar_zip_code（注册代理商zip编码），registrar_city（注册代理商城市），registrar_postal_code（注册代理商邮政编码），registrar_country（），ROID（注册代理商ID），registrar_email（注册代理商邮箱），registrar_street（注册代理商街道），registrar_phone（注册代理商电话），registrar_site（注册代理商地址），registrar_address（注册代理商地址），registrar_contact（注册代理商联系方式），registrar（注册代理商名称）。

域名使用单位节点信息，可以包含如下信息中的至少一种：registrant_name（域名使用单位名称），registrant_organization（域名使用单位组织），registrant_id（域名使用单位ID），registrant_street（域名使用单位街道），registrant_city（域名使用单位城市），registrant_state_province（域名使用单位省份），registrant_postal_code（域名使用单位邮编），registrant_country（域名使用单位国家），registrant_phone（域名使用单位电话），registrant_email（域名使用单位邮箱），registrant_fax（域名使用单位传真），registrant_application_purpose（域名使用单位目的），registrant_nexus_category（域名使用单位分类），registrant_company_name（域名使用单位公司名称），registrant_number（域名使用单位编号），registrant_zip（域名使用单位ZIP），registrant_address（域名使用单位地址），registrant_address1（域名使用单位地址1），registrant_address2（域名使用单位地址2），registrant_address3（域名使用单位地址3），registrant_phone_ext（域名使用单位电话扩展信息），registrant_fax_ext（域名使用单位传真扩展信息），registrant_type（域名使用单位类型），registrant_phone_number（域名使用单位电族号码），registrant_handle（域名使用单位标识），registrant_zip_code（域名使用单位ZIP编码）。

管理节点信息，可以包含如下信息中的至少一种：admin_id（管理单位ID），admin_organization（管理组织），admin_street（管理单位街道），admin_city（管理单位城市），admin_state_province（管理单位城市），admin_postal_code（管理单位邮编），admin_country（管理单位城市），admin_email（管理单位邮箱），admin_fax（管理单位传真），admin_application_purpose（管理单位应用目的），admin_nexus_category（管理单位分类），admin_account_name（管理单位账户名称），admin_name（管理单位名称），admin_org（管理单位组织），admin_address（管理单位地址），admin_address1（管理单位地址1），admin_address2（管理单位地址2），admin_address3（管理单位地址3），admin_phone_ext（管理单位电话扩展信息），admin_fax_ext（管理单位传真扩展信息），admin_c（管理单位联系信息），admin_phone_number（管理单位电话信息），admin_family_name（管理单位家庭信息），admin_company_name（管理单位公司信息）。

技术提供商节点信息，可以包含如下信息中的至少一种：technical_id（技术提供商ID），tech_name（技术提供商名称），tech_organization（技术提供商组织），tech_street（技术提供商街道），tech_city（技术提供商城市），tech_state_province（技术提供商省份或州），tech_postal_code（技术提供商邮编），tech_country（技术提供商国家），tech_phone（技术提供商电话），tech_email（技术提供商邮箱），tech_fax（技术提供商传真），tech_application_purpose（技术提供商应用目的），tech_nexus_category（技术提供商分类），tech_org（技术提供商组织），tech_address2（技术提供商地址2），tech_address3（技术提供商地址3），tech_address1（技术提供商地址1），tech_address（技术提供商地址），tech_phone_ext（技术提供商电话扩展信息），tech_c（技术提供商联系信息），tech_phone_number（技术提供商电话号码），tech_state（技术提供商状态），tech_family_name（技术提供商家庭名称），tech_company_name（技术提供商公司名称），tech_account_name（技术提供商账号名称）。

付费单位节点信息，可以包含如下信息中的至少一种：billing_id（付费单位ID），billing_c（付费单位联系方式），billing_organization（付费单位机构），billing_name（付费单位名称），billing_address1（付费单位地址1），billing_address2（付费单位地址2），billing_city（付费单位城市），billing_state_province（付费单位省份），billing_postal_code（付费单位邮编），billing_country（付费单位国家），billing_email（付费单位邮箱），billing_application_purpose（付费单位应用目的），billing_nexus_category（付费单位分类），billing_street（付费单位街道），billing_phone（付费单位电话），billing_fax（付费单位传真），billing_state（付费单位状态）。

国家节点信息，可以包含：country_code（国家编码简称）。

域名主题类型节点信息，可以包含：type（类型）。

ASN节点信息，可以包含ASN（即自治系统号）。

ISP节点信息，可以包括ISP名称。

ISP地址前缀节点信息，可以包括ISP的network_prefix(网络前缀)。

恶意域名标签节点信息，可以包括恶意域名的标签。

当然，本发明实施例中，根据实际需要，域名知识图谱还可以包括其他节点。

基于前述实施例，提出本发明域名知识图谱构建方法第六实施例。本发明实施例中，步骤S24之后，还可以包括以下步骤：

步骤S25：提供查询以及域名访问安全分析业务。

本发明实施例中，在构建域名知识图谱之后，可以基于域名知识图谱，提供查询业务和域名访问安全分析业务。

对于域名访问安全分析业务，其为基于域名知识图谱，对待分析域名进行分析，以判断待分析域名是否为恶意域名，并提供分析报告。其中，基于域名知识图谱，判断待分析域名是否为恶意域名的方式可以根据实际需要灵活设置，例如，可以在域名知识图谱中，查找与待分析域名相关的域名，根据相关域名对应的恶意域名属性信息，判断待分析域名是否为恶意域名，在一个示例中，若相关域名中，超过预设比例的域名为恶意域名，则可以判断目标域名为恶意域名；其中，相关域名可以是与待分析域名的IP地址相同、或CNAME相同的域名。

当然，本发明实施例中，还可以基于域名知识图谱提供其他业务。例如，恶意域名推测等，应当理解的是，恶意及非法域名的行为存在的一定关联性，如某些恶意域名/非法域名选择的域名注册商可能相同，查询路由可能相似等。在域名知识图谱庞大数据的支撑下，推测可能存在恶意行为和非法内容的域名，挖掘网络黑产业隐含关联关系，实现提前发现，提前防范，并且，由于本发明实施例中域名知识图谱的内容更加丰富，因此，推测结果更加准确，提升了网络的安全性。

本发明实施例提供的域名知识图谱构建方法中，构建域名知识图谱后，即可基于域名知识图谱，提供查询业务、域名访问安全分析业务等业务，由于域名知识图谱中的内容较丰富，因此，基于域名知识图谱提供的查询业务，查询到的内容更加丰富；基于域名知识图谱提供的域名访问安全分析业务，得到的分析结果更加准确。

域名知识图谱构建装置实施例。

参照图5，图5为本发明域名知识图谱构建装置第一实施例的结构框图，其中域名知识图谱构建装置包括：

获取模块51，用于从域名系统的域名解析日志中，获取域名知识数据。

爬取模块52，用于基于域名知识数据进行网络爬取，以获取关联知识数据。

分析模块53，用于对域名知识数据进行分析，以获取分析类特征数据。

构建模块54，用于根据域名知识数据、关联知识数据和分析类特征数据，构建域名知识图谱。

需要说明的是，域名知识图谱构建装置还可选的包括有对应的模块，以实施上述域名知识图谱构建方法的其他步骤。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在如上所述的一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备执行本发明各个实施例所述的方法。

以上所述仅为本发明的可选实施例，并非因此限制本发明的专利范围，凡是在本发明的发明构思下，利用本发明说明书及附图内容所作的等效结构变换，或直接/间接运用在其他相关的技术领域均包括在本发明的专利保护范围内。

Claims (10)

1.一种域名知识图谱构建方法，其特征在于，所述域名知识图谱构建方法包括：

从域名系统的域名解析日志中，获取域名知识数据；

基于所述域名知识数据进行网络爬取，以获取关联知识数据；

对所述域名知识数据进行分析，以获取分析类特征数据；

根据所述域名知识数据、所述关联知识数据和所述分析类特征数据，构建域名知识图谱。

2.如权利要求1所述的域名知识图谱构建方法，其特征在于，所述从域名系统的域名解析日志中，获取域名知识数据的步骤包括：

从域名系统中获取域名解析日志；

根据预设规则，对所述域名解析日志进行筛选；

从筛选后的域名解析日志中，获取域名知识数据。

3.如权利要求1所述的域名知识图谱构建方法，其特征在于，所述域名知识数据包括：目标域名、所述目标域名对应的目标IP地址；

所述基于所述域名知识数据进行网络爬取，以获取关联知识数据的步骤，包括：

基于域名查询协议whois，获取所述目标域名的注册信息；

基于IP地址查询协议IP whois，获取所述目标IP地址的自治系统号ASN信息；

获取所述目标域名对应的互联网服务提供商ISP组织、ISP地址前缀和所属ASN的连接关系。

4.如权利要求3所述的域名知识图谱构建方法，其特征在于，所述基于所述域名知识数据进行网络爬取，以获取关联知识数据的步骤，还包括：

通过网络查询所述目标域名对应的第一关联IP地址；

获取所述第一关联IP地址和所述目标IP地址对应的第一关联域名；

获取所述第一关联域名对应的第二关联IP地址；

获取所述第一关联域名的注册信息；

获取所述第一关联IP地址的ASN信息和所述第二关联IP地址的ASN信息；

获取所述目标域名和所述第一关联域名的子域名。

5.如权利要求3所述的域名知识图谱构建方法，其特征在于，所述基于所述域名知识数据进行网络爬取，以获取关联知识数据的步骤，还包括：

通过网络爬取所述目标IP地址对应的第二关联域名；

获取所述第二关联域名对应的第三关联IP地址；

获取所述第三关联IP地址的ASN信息；

获取所述第二关联域名的注册信息以及子域名。

6.如权利要求3所述的域名知识图谱构建方法，其特征在于，所述对所述域名知识数据进行分析，以获取分析类特征数据步骤，包括以下方式中的至少一种：

对所述目标域名的业务进行分析，以获取所述目标域名的恶意域名属性信息；

对所述目标域名的业务进行分析，以获取所述目标域名的域名主题类型信息；

对所述目标域名的查询路由进行分析，以获取所述目标域名的域名查询路由信息。

7.如权利要求1-6任一项所述的域名知识图谱构建方法，其特征在于，所述域名知识图谱包括：域名节点信息、IP节点信息、注册代理商节点信息、域名使用单位节点信息、管理节点信息、技术提供商节点信息、付费单位节点信息、国家节点信息、域名主题类型节点信息、ASN节点信息、ISP节点信息、ISP地址前缀节点信息、恶意域名标签节点信息以及各节点之间的关系。

8.一种域名知识图谱构建装置，其特征在于，所述域名知识图谱构建装置包括：

获取模块，用于从域名系统的域名解析日志中，获取域名知识数据；

爬取模块，用于基于所述域名知识数据进行网络爬取，以获取关联知识数据；

分析模块，用于对所述域名知识数据进行分析，以获取分析类特征数据；

构建模块，用于根据所述域名知识数据、所述关联知识数据和所述分析类特征数据，构建域名知识图谱。

9.一种域名知识图谱构建设备，其特征在于，所述域名知识图谱构建设备包括：存储器、处理器及存储在所述存储器上并在所述处理器上运行的域名知识图谱构建程序，所述域名知识图谱构建程序被所述处理器执行时实现如权利要求1至7中任一项所述的域名知识图谱构建方法的步骤。

10.一种存储介质，其特征在于，所述存储介质上存储有域名知识图谱构建程序，所述域名知识图谱构建程序被处理器执行时实现如权利要求1至7中任一项所述的域名知识图谱构建方法的步骤。

Images