CN115242484A - 一种基于门控卷积和lstm的dga域名检测模型及方法 - Google Patents

Abstract

本发明公开了一种基于门控卷积和LSTM的DGA域名检测模型及方法，属于互联网安全技术领域；本发明在卷积运算中引入了门控机制，用于控制信息在层次结构中的流动，提高了信息的传递效率；同时通过堆叠多个卷积门控单元，进一步提取域名深层次的特征，并借鉴残差网络的思想在卷积门控单元间引入残差结构，缓解了深层网络中出现的梯度弥散问题；更进一步的，利用注意力机制从LSTM层的输出中提取相关特征，捕捉当前隐含状态和之前所有隐含状态之间的关系，充分利用了所有之前隐藏状态的信息；通过注意力机制训练每个字符的权重，滤除噪音或无用信息，提高了在检测基于字典DGA域名时的准确度。

Description

一种基于门控卷积和LSTM的DGA域名检测模型及方法

技术领域

本发明涉及互联网安全技术领域，尤其涉及一种基于门控卷积和LSTM的DGA域名检测模型及方法。

背景技术

DNS作为用户接入互联网的入口，是互联网中重要的基础设施，也是保障互联网正常运行的关键环节。作为完全开放的服务，DNS对各种查询访问行为未做任何限制，因此常常被攻击者用来传播木马病毒、僵尸程序，进行敲诈勒索、网络钓鱼和恶意通信等不法行为。攻击者挖掘网络中存有漏洞的设备，并向其发送含有恶意程序的文件，一旦受感染该设备便成为僵尸主机。为了在C&C服务器与僵尸主机之间建立通信信道，僵尸主机需要知道C&C服务器的通信地址。早期攻击者将IP地址硬编码在恶意程序中，但这种方式容易被网络管理员以黑名单的形式进行封堵。为此，一些僵尸网络如Conficker、Kraken和Torpig等采用Domain-flux技术来躲避追查。在该方法中，不同的僵尸主机采用相同的DGA(DomainGeneration Algorithm，域名生成算法)生成相同的域名数据集，然后逐个进行查询直到其中一个被正确解析为C&C服务器的IP地址。对于攻击者而言，只要在僵尸主机查询的域名中注册少量域名便可实现对僵尸网络的轻松控制。

早期采用黑名单过滤的方式来检测DGA域名，但这种方法只能检测已有的固定域名，对采用DGA生成的不断变化的域名无能为力，为此人们开始采用逆向技术进行检测。由于逆向技术需要分析恶意程序源代码，花费时间较长且对技术人员要求较高，无法满足DGA域名的检测要求。因此最新的研究集中在机器学习领域，包括基于特征工程和基于深度学习。

目前，基于特征工程的DGA域名检测主要从字符、报文、会话流量等方面提取一系列特征，并利用机器学习算法进行方法进行分类。该方法能够较为全面的评估域名的性质，但面临以下问题：一方面，检测准确率依赖于手工提取特征的准确性，且域名种类众多无法面面俱到，容易被攻击者以特定手段绕过；另一方面特征提取过程相对复杂，需要耗费较多的时间。基于深度学习的DGA域名检测主要对域名字符进行检测，不仅避免了手工提取特征还能发现传统统计方法无法发现的特征，检测效率高效。然而现有的检测方法往往采用单一的神经网络或将两种神经网络简单的拼接，不能充分挖掘域名上下文的特征；同时在检测对基于字典生成的域名或基于良性域名的分布特征生成的域名时，检测效果并不理想。为了解决上述问题，本发明提出了一种基于门控卷积和LSTM的DGA域名检测模型及方法

发明内容

本发明的目的在于提供一种能够充分挖掘域名上下文的特征且对基于字典生成的域名或基于良性域名的分布特征生成的域名具有出色检测效果的基于门控卷积和LSTM的DGA域名检测模型及方法。

为了实现上述目的，本发明采用了如下技术方案：

一种基于门控卷积和LSTM的DGA域名检测模型，包括有字符嵌入层、特征提取层和输出层；

所述字符嵌入层，采用分布式表示对域名进行编码，形成词向量空间；

所述特征提取层，包括有门控卷积层和融合注意力机制的LSTM层，所述门控卷积层和LSTM层分别从局部和整体两个维度提取域名特征；

所述输出层，包括向量拼接层、Dropout层和全连接层，用于对特征提取层中的数据进行融合、分类，得到最终分类结果。

一种基于门控卷积和LSTM的DGA域名检测方法，具体包括以下步骤：

S1、利用字符嵌入层对域名数据集中出现的所有字符进行统计及编号，生成(字符：下标)形式的字符映射字典；

S2、结合S1中所得的字符映射字典对域名进行向量化处理，处理完成后输出结果；

S3、根据S2中所得的输出结果，使用门控卷积层和融合了注意力机制的LSTM层抽取和聚合被检特征，将矩阵形式的输入编码为较低难度的一维向量，保留有用信息；

S4、降维处理完成后，使用sigmoid函数或softmax函数计算域名的概率分布，生成域名概率分布计算模型，进而利用模型计算输出域名的标签信息。

优选地，所述S2中提到的域名向量化处理，具体包括以下步骤：

A1、根据字符映射字典将每个域名转化为长度为m的向量，m表示域名数据集中最长域名的字符串长度；

A2、对于字符串长度不足m的域名，对其向量化时进行补0，确保每个域名向量化时格式一致；

A3、将量化后的域名字符串嵌入到m×n的浮点数矩阵中；其中，n表示单个字符的量化长度。

优选地，所述S3中提到的卷积层通过门控卷积单元将卷积后的输出分别进行一次relu运算和tanh运算，并将运算结果相乘得到输出矩阵，具体计算过程如下：

其中，X∈R^N×m为第l层的输入，N为序列的长度，m为词向量的维度，W∈R^k×m×n，V∈R^{k ×m×n}，b∈Rⁿ，c∈Rⁿ为学习参数,k是卷积核的宽度，n为输出维度，

为矩阵点乘运算。

优选地，所述卷积层中堆叠设计有三层门控卷积单元，每层门控卷积单元的卷积核的大小分别为2、3、4，用于提取域名的2-gram、3-gram和4-gram特征；同时在每层门控卷积单元的GTRU层间引入残差结构，用于缓解梯度弥散问题，提升网络的训练效率。

优选地，所述S3中提到LSTM层融合了注意力机制，其中注意力机制具体包括以下内容：

B1、编码器LSTM输入序列{x₁,x₂,L,x_T}并生成隐层节点状态向量{h₁,h₂,L,h_T}；

B2、根据注意力前一隐含状态H_i-1和隐层节点状态h_j，得出注意力权重值的计算公式：

其中，W_a、W₂为权值系数矩阵；v_a为权值向量；α_ij为第i个值对第j个值的注意力权重值；

B3、依据B2中计算所得的权重值，对所有隐含向量进行加权求和运算，得出上下文向量c_i，具体运算公式如下式所示：

其中，c_i为上下文向量；

B4、根据注意力前一隐含状态H_i-1和上下文向量c_i，得出注意力隐含状态H_i的计算公式：

H_i＝f(c_i,H_i-1)＝tanh(W_c[c_i,H_i-1])

其中，W_c为注意力层的权值矩阵。

优选地，所述S4中提到的域名概率分布计算模型使用二元交叉熵作为训练过程中衡量预测结果的损失函数，其计算公式如下所示：

其中，N为样本的数量；

为预测结果，y为真实值。

与现有技术相比，本发明提供了一种基于门控卷积和LSTM的DGA域名检测模型及方法，具备以下有益效果：

本发明提出了一种基于门控卷积和LSTM的DGA域名检测模型，在模型的特征提取层中设计了门控卷积层和LSTM层，分别用于提取域名的局部特征和上下文关系，特征挖掘能力显著增强；同时还进一步提出了与模型相匹配的域名检测方法，在卷积运算中引入了门控机制，能够控制信息在层次结构中的流动，提高信息的传递效率；更进一步地，本方法引入了卷积门控单元和引入残差结构，通过堆叠多个卷积门控单元，不同卷积门控单元之间采用残差连接的方式，能够在充分提取域名字符特征的同时缓解深层网络中出现的梯度弥散问题；在LSTM层中，利用LSTM处理时间序列的能力，来捕获域名的内在关系，同时引入了注意力机制，能够专注于域名字符的关键部分，有效提高了在检测基于字典DGA域名时的准确度。

附图说明

图1为本发明提出的一种基于门控卷积和LSTM的DGA域名检测模型的结构示意图；

图2为本发明提出的一种基于门控卷积和LSTM的DGA域名检测方法的门控卷积单元的原理示意图；

图3为本发明提出的一种基于门控卷积和LSTM的DGA域名检测方法的残差门控卷积的结构示意图；

图4为本发明提出的一种基于门控卷积和LSTM的DGA域名检测方法的注意力机制的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

实施例1：

请参阅图1-4，一种基于门控卷积和LSTM的DGA域名检测模型及方法，具体包括以下内容：

(1)字符嵌入层

嵌入层采用分布式表示对域名进行编码，形成词向量空间。

由于神经网络接受的输入序列是定长向量，因此需要对域名进行向量化，将每个字符映射成数值向量。本发明对对域名数据集中出现的所有字符进行统计，包括字母、数字和其他符号等，然后对每个字符进行编号，生成(字符：下标)形式的字符映射字典。在对域名进行向量化时，首先根据字符字典将每个域名转换成长度为m的向量，m为域名数据集中最长域名的长度。对于字符串长度不足m的域名，在对其向量化时进行补0，确保每个域名向量化时格式一致。随后将量化后的域名字符串嵌入到m×n的浮点数矩阵中，n为单个字符的量化长度。与独热编码相比，该量化方法将稀疏矩阵变换为密集矩阵，并通过反向传播更新学习参数，从而更好的表征字符的内在关系。

(2)特征提取层

特征提取层包括门控卷积层和融合注意力机制的LSTM层，分别从局部和整体两个维度提取域名特征。

特征提取层将根据嵌入层的输出结果，使用深度学习模型抽取和聚合被检测特征，其作用是将矩阵形式的输入编码为较低维度的一维向量，从而保留大多有用信息。图2为门控卷积单元，其原理是将卷积后的输出分别进行一次relu运算和tanh运算，并将运算结果相乘得到输出矩阵，计算过程如下：

其中，X∈R^N×m为第l层的输入，N为序列的长度，m为词向量的维度，W∈R^k×m×n，V∈R^{k ×m×n}，b∈Rⁿ，c∈Rⁿ为学习参数,k是卷积核的宽度，n为输出维度，

为矩阵点乘运算。

为了充分挖掘域名的特征，本设计中堆叠了三层门控卷积单元。每层门控卷积单元的卷积核的大小分别为2、3、4，用于提取域名的2-gram、3-gram和4-gram特征。同时在GTRU层间引入残差结构，进一步缓解梯度弥散问题，提升网络的训练效率，其结构如图3所示。

图4展示了注意力机制的整体结构。首先，编码器LSTM输入序列{x₁,x₂,L,x_T}并生成隐层节点状态向量{h₁,h₂,L,h_T}。随后，根据注意力前一隐含状态H_i-1和隐层节点状态h_j，可得到注意力权重值计算公式：

其中，W_a、W₂为权值系数矩阵，v_a为权值向量，α_ij为第i个值对第j个值的注意力权重值。依据权重值，对所有隐含向量进行加权求和运算，如下式所示。

注意力隐含状态H_i基于前一隐含状态H_i-1和上下文向量c_i进行计算，如下式所示，其中W_c是注意层的权值矩阵。

H_i＝f(c_i,H_i-1)＝tanh(W_c[c_i,H_i-1])

(3)输出层

输出层包括向量拼接层、Dropout层和全连接层，用于对上一层的数据进行融合、分类，得到最终分类结果。

注意力层输出的特征经全连接层降维后，使用sigmoid函数或softmax函数计算域名的概率分布，从而得到域名的标签。本方法使用二元交叉熵作为训练过程中衡量预测结果的损失函数，其计算公式如下所示：

其中，N为样本的数量，

为预测结果，y为真实值。

综上所述，本发明提出了一种基于门控卷积和LSTM的DGA域名检测模型，在模型的特征提取层中设计了门控卷积层和LSTM层，分别用于提取域名的局部特征和上下文关系，特征挖掘能力显著增强；同时还进一步提出了与模型相匹配的域名检测方法，在卷积运算中引入了门控机制，能够控制信息在层次结构中的流动，提高信息的传递效率；更进一步地，本方法引入了卷积门控单元和引入残差结构，通过堆叠多个卷积门控单元，不同卷积门控单元之间采用残差连接的方式，能够在充分提取域名字符特征的同时缓解深层网络中出现的梯度弥散问题；在LSTM层中，利用LSTM处理时间序列的能力，来捕获域名的内在关系，同时引入了注意力机制，能够专注于域名字符的关键部分，有效提高了在检测基于字典DGA域名时的准确度。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。

Claims (7)

1.一种基于门控卷积和LSTM的DGA域名检测模型，其特征在于，包括有字符嵌入层、特征提取层和输出层；

所述字符嵌入层，采用分布式表示对域名进行编码，形成词向量空间；

所述特征提取层，包括有门控卷积层和融合注意力机制的LSTM层，所述门控卷积层和LSTM层分别从局部和整体两个维度提取域名特征；

所述输出层，包括向量拼接层、Dropout层和全连接层，用于对特征提取层中的数据进行融合、分类，得到最终分类结果。

2.根据权利要求1所述的一种基于门控卷积和LSTM的DGA域名检测模型所应用的域名检测方法，其特征在于，具体包括以下步骤：

S1、利用字符嵌入层对域名数据集中出现的所有字符进行统计及编号，生成(字符：下标)形式的字符映射字典；

S2、结合S1中所得的字符映射字典对域名进行向量化处理，处理完成后输出结果；

S3、根据S2中所得的输出结果，使用门控卷积层和融合了注意力机制的LSTM层抽取和聚合被检特征，将矩阵形式的输入编码为较低难度的一维向量，保留有用信息；

S4、降维处理完成后，使用sigmoid函数或softmax函数计算域名的概率分布，生成域名概率分布计算模型，进而利用模型计算输出域名的标签信息。

3.根据权利要求2所述的一种基于门控卷积和LSTM的DGA域名检测方法，其特征在于，所述S2中提到的域名向量化处理，具体包括以下步骤：

A1、根据字符映射字典将每个域名转化为长度为m的向量，m表示域名数据集中最长域名的字符串长度；

A2、对于字符串长度不足m的域名，对其向量化时进行补0，确保每个域名向量化时格式一致；

A3、将量化后的域名字符串嵌入到m×n的浮点数矩阵中；其中，n表示单个字符的量化长度。

4.根据权利要求2所述的一种基于门控卷积和LSTM的DGA域名检测方法，其特征在于，所述S3中提到的卷积层通过门控卷积单元将卷积后的输出分别进行一次relu运算和tanh运算，并将运算结果相乘得到输出矩阵，具体计算过程如下：

其中，X∈R^N×m为第l层的输入，N为序列的长度，m为词向量的维度，W∈R^k×m×n，V∈R^k×m×n，b∈Rⁿ，c∈Rⁿ为学习参数,k是卷积核的宽度，n为输出维度，

为矩阵点乘运算。

5.根据权利要求2或4所述的一种基于门控卷积和LSTM的DGA域名检测方法，其特征在于，所述卷积层中堆叠设计有三层门控卷积单元，每层门控卷积单元的卷积核的大小分别为2、3、4，用于提取域名的2-gram、3-gram和4-gram特征；同时在每层门控卷积单元的GTRU层间引入残差结构，用于缓解梯度弥散问题，提升网络的训练效率。

6.根据权利要求2所述的一种基于门控卷积和LSTM的DGA域名检测方法，其特征在于，所述S3中提到LSTM层融合了注意力机制，其中注意力机制具体包括以下内容：

B1、编码器LSTM输入序列{x₁,x₂,L,x_T}并生成隐层节点状态向量{h₁,h₂,L,h_T}；

B2、根据注意力前一隐含状态H_i-1和隐层节点状态h_j，得出注意力权重值的计算公式：

其中，W_a、W₂为权值系数矩阵；v_a为权值向量；α_ij为第i个值对第j个值的注意力权重值；

B3、依据B2中计算所得的权重值，对所有隐含向量进行加权求和运算，得出上下文向量c_i，具体运算公式如下式所示：

其中，c_i为上下文向量；

B4、根据注意力前一隐含状态H_i-1和上下文向量c_i，得出注意力隐含状态H_i的计算公式：

H_i＝f(c_i,H_i-1)＝tanh(W_c[c_i,H_i-1])

其中，W_c为注意力层的权值矩阵。

7.根据权利要求2所述的一种基于门控卷积和LSTM的DGA域名检测方法，其特征在于，所述S4中提到的域名概率分布计算模型使用二元交叉熵作为训练过程中衡量预测结果的损失函数，其计算公式如下所示：

其中，N为样本的数量；

为预测结果，y为真实值。

Images