CN115567289A - 加密dns协议下基于联邦图模型的恶意域名检测方法及系统 - Google Patents

加密dns协议下基于联邦图模型的恶意域名检测方法及系统 Download PDF

Info

Publication number
CN115567289A
CN115567289A CN202211161856.8A CN202211161856A CN115567289A CN 115567289 A CN115567289 A CN 115567289A CN 202211161856 A CN202211161856 A CN 202211161856A CN 115567289 A CN115567289 A CN 115567289A
Authority
CN
China
Prior art keywords
domain name
graph
model
local
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202211161856.8A
Other languages
English (en)
Inventor
杨家海
孙晓晴
李城龙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tsinghua University
Original Assignee
Tsinghua University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tsinghua University filed Critical Tsinghua University
Priority to CN202211161856.8A priority Critical patent/CN115567289A/zh
Publication of CN115567289A publication Critical patent/CN115567289A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H04L12/5601—Transfer mode dependent, e.g. ATM
    • H04L2012/5686—Use of neural networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请提出了一种加密DNS协议下基于联邦图模型的恶意域名检测方法及系统，涉及网络安全技术领域，包括：获取客户端的域名查询行为并构建DNS查询图，通过图神经网络模型处理DNS查询图确定域名节点分类，并采用联邦学习框架训练客户端与服务器。本发明第一方面使用图神经网络模型综合域字符分布和域名间查询逻辑关系，进行域名节点分类，准确快速地完成恶意域名检测，第二方面采用联邦学习框架，在不共享各客户端本地数据的情况下，实现跨客户端的模型协同训练，提升各本地检测引擎的检测效果。

Description

加密DNS协议下基于联邦图模型的恶意域名检测方法及系统
技术领域
本申请涉及网络安全技术领域，尤其涉及一种加密DNS协议下基于联邦图模型的恶意域名检测方法及系统。
背景技术
为保护用户隐私、防止中间人攻击，互联网工程任务组已通过了多种加密DNS协议。其中，DNS-over-TLS(DoT,RFC 7585)、DNS-over-HTTPS(DoH,RFC 8484)等协议已被广泛部署应用于各主流操作系统、浏览器和大型公共DNS解析器中。在加密DNS场景下，包括攻击者、网络管理员、安全厂商在内的各类第三方组织都无法再以明文形式获取客户端DNS流量。因此，在缓解了DNS劫持、数据窃听、信息篡改等风险的同时，加密DNS协议的部署也切断了绝大多数现有恶意域名检测系统的数据来源。
然而，目前已有攻击者开始滥用加密DNS协议来隐藏其命令控制信道通信、数据泄露等恶意行为。总结来讲，加密DNS协议的部署在保障了网络空间安全性的同时也带来了新的挑战。加密DNS场景下的恶意域名检测目前已成为一个亟待关注和解决的研究问题，目前针对加密DNS场景的相关研究工作主要集中在协议部署与服务支持情况测量、协议部署成本和运行性能分析、协议部署应用策略设计以及针对加密DNS协议的信息泄露攻击等。
发明内容
针对上述问题，提出了一种加密DNS协议下基于联邦图模型的恶意域名检测方法及系统。
本申请第一方面提出了一种加密DNS协议下基于联邦图模型的恶意域名检测方法，包括：
获取客户端的域名查询行为，并根据所述客户端的域名查询行为构建DNS查询图，所述DNS查询图包括域名文本字符分布、域名查询关系与域名节点；
根据图神经网络模型处理所述域名文本字符分布与域名查询关系，获取所述域名节点的表征向量；
训练所述图神经网络模型，根据训练后的所述图神经网络模型处理所述表征向量，确定所述域名节点分类。
可选的，所述根据处理所述DNS查询图，获取所述DNS查询图中域名节点的表征向量，包括:
对于给定的DNS查询图G＝<V,E,X>，对于其中节点v∈V，第l层图神经网络模型定义为：
Figure BDA0003860381180000021
Figure BDA0003860381180000022
其中，
Figure BDA0003860381180000023
表示l层的节点v的隐藏状态，N(v)是节点v的邻居节点集合，MSG和AGG分别表示消息计算函数和聚合函数。
可选的，所述训练所述图神经网络模型，包括：
通过交叉熵损失函数，使用Adam优化器训练所述图神经网络模型GNN模型。
本申请第二方面提出一种加密DNS协议下基于联邦图模型的恶意域名检测系统，包括至少一个服务器和多个客户端，所述服务器和所述客户端采用联邦学习框架，其中，
所述客户端用于接收并处理所述服务器发送的第一全局模型与第一全局图表征信息，发送本地模型与本地图表征信息至所述服务器；
所述服务器用于接收并处理所述本地模型与本地图表征信息，发送第二全局模型与第二全局图表征信息至所述客户端。
可选的，所述客户端处还用于：
根据所述第一全局模型和本地DNS查询图获取所述客户端的本地图表征信息；
根据所述本地图表征信息与所述第一全局图表征信息确定全局数据相似度；
根据所述全局数据相似度与所述第一全局模型更新本地信息，确定所述本地模型。
可选的，所述服务器处还用于：
根据聚合策略处理所述本地模型与所述本地图表征信息，其中，所述聚合策略引入标签量及正负样本占比。
本申请第三方面，提出一种计算机设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时，实现如上述第一方面中任一所述的方法。
本申请第四方面，提出一种非临时性计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上述第一方面中任一所述的方法。
本公开的实施例提供的技术方案至少带来以下有益效果：
第一方面，使用图神经网络模型综合域字符分布和域名间查询逻辑关系，进行域名节点分类，准确快速地完成恶意域名检测；
第二方面，采用联邦学习框架，在不共享各客户端本地数据的情况下，实现跨客户端的模型协同训练，提升各本地检测引擎的检测效果。
本申请附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本申请的实践了解到。
附图说明
本申请上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：
图1是根据本申请示例性实施例示出的一种加密DNS协议下基于联邦图模型的恶意域名检测方法的流程图；
图2是本申请示例性实施例示出的DNS查询图的框图；
图3是本申请实施例示出的一种加密DNS协议下基于联邦图模型的恶意域名检测系统的流程图；
图4是本申请实出的基于联邦图模型的恶意域名检测引擎和支持客户端间协同训练的联邦学习框架的工作流程图；
图5是一种电子设备的框图。
具体实施方式
下面详细描述本申请的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本申请，而不能理解为对本申请的限制。
图1是根据本申请示例性实施例示出的一种加密DNS协议下基于联邦图模型的恶意域名检测方法的流程图，如图1所示，包括：
步骤101，获取客户端的域名查询行为，并根据客户端的域名查询行为构建DNS查询图，DNS查询图包括域名文本字符分布、域名查询关系与域名节点。
本申请实施例中，根据各客户端自身的域名查询行为构建如图2所示的DNS查询图，客户端i的DNS查询图可形式化定义为有向图模型Gi＝<Vi,Ei,Xi>，其中节点集合Vi包含了客户端i查询的所有域名，边ea,b∈Ei表示域名a被查询后，在时间窗TG内，域名b被查询，即域名查询关系，节点属性xa∈Xi描述了域名a的字符分布。
步骤102，根据图神经网络模型处理域名文本字符分布与域名查询关系，获取域名节点的表征向量。
本申请实施例中，一个图神经网络模型GNN层中主要包含两个步骤，即消息计算和聚合，给定一个图G＝<V,E,X>，对于其中每个节点v∈V，每层GNN会首先从其相邻节点收集信息并转换，然后根据聚合信息更新节点的表征向量。
一种可能的实施例中，使用L层GNN根据某节点的L跳邻居视野获得其表征向量，第l层GNN可以定义为：
Figure BDA0003860381180000041
Figure BDA0003860381180000042
其中，
Figure BDA0003860381180000043
表示l层的节点v的隐藏状态，N(v)是节点v的邻居节点集合，MSG和AGG分别表示消息计算函数和聚合函数，其中，消息计算函数为线性层等，聚合函数为求和、均值或最大池化等操作。
优选的，通过在消息计算和聚合步骤中加入Sigmoid，ReLu等激活函数来进一步提高图神经网络模型的表达能力。
步骤103，训练图神经网络模型，根据训练后的图神经网络模型GNN处理表征向量，确定域名节点分类。
本申请实施例中，通过交叉熵损失函数，使用Adam优化器来训练图神经网络模型，本发明中选用的图神经网络模型为两层GraphSage模型。
本申请实施例通过使用图神经网络模型综合域字符分布和域名间查询逻辑关系，进行域名节点分类，准确快速地完成恶意域名检测
图3是根据本申请示例性实施例示出的一种加密DNS协议下基于联邦图模型的恶意域名检测系统，包括至少一个服务器和多个客户端，服务器和客户端采用联邦学习框架，其中，
客户端用于接收并处理服务器发送的第一全局模型与第一全局图表征信息，发送本地模型与本地图表征信息至服务器；
服务器用于接收并处理本地模型与本地图表征信息，发送第二全局模型与第二全局图表征信息至客户端。
如图3和图4所示，在客户端侧，根据第一全局模型
Figure BDA0003860381180000044
和本地DNS查询图Gi获取客户端的本地图表征信息
Figure BDA0003860381180000045
根据本地图表征信息
Figure BDA0003860381180000046
与第一全局图表征
Figure BDA0003860381180000047
信息确定全局数据相似度βi；根据全局数据相似度βi与第一全局模型
Figure BDA0003860381180000048
更新本地信息，确定本地模型Wi t+1。
在服务器侧，根据聚合策略处理本地模型Wi t+1与本地图表征信息
Figure BDA0003860381180000049
其中，聚合策略引入标签量及正负样本占比αi。
将客户端与服务器结合起来，具体来说，在第t+1次迭代中服务器将全局模型
Figure BDA00038603811800000410
分发给选定的客户端集合，之后，各客户端使用本地数据集训练模型，考虑到通信效率，各客户端将在一次迭代中经历多个训练时期进行本地模型更新。之后，客户端将本地模型参数Wi t+1上传回服务器。最终，服务器通过聚合接收到的本地模型信息将全局模型更新至
Figure BDA00038603811800000411
过程中，考虑到各客户端数据非独立同分布特性，本设计方案中额外传输了图表征信息
Figure BDA0003860381180000051
以沟通各客户端的数据分布情况，并在客户端本地引擎模型更新阶段，基于本地数据与全局数据相似度βi进行加权计算，另外，考虑到各客户端标签情况对模型训练的影响，本发明方案在服务器侧模型聚合过程中引入标签量及正负样本占比αi以权衡各本地检测引擎的重要程度，也即具有更多标签信息和更均衡带标签样本的客户端的本地模型将在全局模型中发挥更重要的作用。服务器侧模型聚合方案公式化定义如下：
Figure BDA0003860381180000052
本申请实施例通过用联邦学习框架，在不共享各客户端本地数据的情况下，实现跨客户端的模型协同训练，提升各本地检测引擎的检测效果。
图5示出了可以用来实施本公开的实施例的示例电子设备500的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。
如图5所示，设备500包括计算单元501，其可以根据存储在只读存储器(ROM)502中的计算机程序或者从存储单元508加载到随机访问存储器(RAM)503中的计算机程序，来执行各种适当的动作和处理。在RAM 503中，还可存储设备500操作所需的各种程序和数据。计算单元501、ROM 502以及RAM 503通过总线504彼此相连。输入/输出(I/O)接口505也连接至总线504。
设备500中的多个部件连接至I/O接口505，包括：输入单元506，例如键盘、鼠标等；输出单元507，例如各种类型的显示器、扬声器等；存储单元508，例如磁盘、光盘等；以及通信单元509，例如网卡、调制解调器、无线通信收发机等。通信单元509允许设备500通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。
计算单元501可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元501的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元501执行上文所描述的各个方法和处理，例如语音指令响应方法。例如，在一些实施例中，语音指令响应方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元508。在一些实施例中，计算机程序的部分或者全部可以经由ROM 502和/或通信单元509而被载入和/或安装到设备500上。当计算机程序加载到RAM 503并由计算单元501执行时，可以执行上文描述的语音指令响应方法的一个或多个步骤。备选地，在其他实施例中，计算单元501可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行语音指令响应方法。
本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。
用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。
在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。
可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、互联网和区块链网络。
计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务("Virtual Private Server"，或简称"VPS")中，存在的管理难度大，业务扩展性弱的缺陷。服务器也可以为分布式系统的服务器，或者是结合了区块链的服务器。
应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。
上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (8)

1.一种加密DNS协议下基于联邦图模型的恶意域名检测方法，其特征在于，包括：
获取客户端的域名查询行为，并根据客户端的域名查询行为构建DNS查询图，所述DNS查询图包括域名文本字符分布、域名查询关系与域名节点；
根据图神经网络模型处理所述域名文本字符分布与域名查询关系，获取所述域名节点的表征向量；
训练所述图神经网络模型，根据训练后的所述图神经网络模型GNN处理所述表征向量，确定所述域名节点分类。
2.根据权利要求1所述的方法，其特征在于，所述根据图神经网络模型处理所述DNS查询图，获取所述DNS查询图中域名节点的表征向量，包括:
对于给定的DNS查询图G＝<V,E,X>，对于其中节点v∈V，第l层图神经网络模型定义为：
Figure FDA0003860381170000011
Figure FDA0003860381170000012
其中，
Figure FDA0003860381170000013
表示l层的节点v的隐藏状态，N(v)是节点v的邻居节点集合，MSG和AGG分别表示消息计算函数和聚合函数。
3.根据权利要求1所述的方法，其特征在于，所述训练所述图神经网络模型，包括：
通过交叉熵损失函数，使用Adam优化器训练所述图神经网络模型模型。
4.一种加密DNS协议下基于联邦图模型的恶意域名检测系统，其特征在于，包括至少一个服务器和多个客户端，所述服务器和所述客户端采用联邦学习框架，其中，
所述客户端用于接收并处理所述服务器发送的第一全局模型与第一全局图表征信息，发送本地模型与本地图表征信息至所述服务器；
所述服务器用于接收并处理所述本地模型与本地图表征信息，发送第二全局模型与第二全局图表征信息至所述客户端。
5.根据权利要求4所述的系统，其特征在于，所述客户端处还用于：
根据所述第一全局模型和本地DNS查询图获取所述客户端的本地图表征信息；
根据所述本地图表征信息与所述第一全局图表征信息确定全局数据相似度；
根据所述全局数据相似度与所述第一全局模型更新本地信息，确定所述本地模型。
6.根据权利要求5所述的系统，其特征在于，所述服务器处还用于：
根据聚合策略处理所述本地模型与所述本地图表征信息，其中，所述聚合策略引入标签量及正负样本占比。
7.一种计算机设备，其特征在于，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时，实现如权利要求1-3中任一所述的方法。
8.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-3中任一所述的方法。
CN202211161856.8A 2022-09-23 2022-09-23 加密dns协议下基于联邦图模型的恶意域名检测方法及系统 Pending CN115567289A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211161856.8A CN115567289A (zh) 2022-09-23 2022-09-23 加密dns协议下基于联邦图模型的恶意域名检测方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211161856.8A CN115567289A (zh) 2022-09-23 2022-09-23 加密dns协议下基于联邦图模型的恶意域名检测方法及系统

Publications (1)

Publication Number Publication Date
CN115567289A true CN115567289A (zh) 2023-01-03

Family

ID=84741771

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211161856.8A Pending CN115567289A (zh) 2022-09-23 2022-09-23 加密dns协议下基于联邦图模型的恶意域名检测方法及系统

Country Status (1)

Country Link
CN (1) CN115567289A (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110493208A (zh) * 2019-08-09 2019-11-22 南京聚铭网络科技有限公司 一种多特征的dns结合https恶意加密流量识别方法
CN110798481A (zh) * 2019-11-08 2020-02-14 杭州安恒信息技术股份有限公司 基于深度学习的恶意域名检测方法及装置
US20200169570A1 (en) * 2018-11-28 2020-05-28 Ca, Inc. Systems and methods for detecting malware infections associated with domain generation algorithms
CN112910929A (zh) * 2021-03-24 2021-06-04 中国科学院信息工程研究所 基于异质图表示学习的恶意域名检测方法及装置
WO2022052476A1 (zh) * 2020-09-10 2022-03-17 华为技术有限公司 检测模型的训练方法、系统、设备及存储介质

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200169570A1 (en) * 2018-11-28 2020-05-28 Ca, Inc. Systems and methods for detecting malware infections associated with domain generation algorithms
CN110493208A (zh) * 2019-08-09 2019-11-22 南京聚铭网络科技有限公司 一种多特征的dns结合https恶意加密流量识别方法
CN110798481A (zh) * 2019-11-08 2020-02-14 杭州安恒信息技术股份有限公司 基于深度学习的恶意域名检测方法及装置
WO2022052476A1 (zh) * 2020-09-10 2022-03-17 华为技术有限公司 检测模型的训练方法、系统、设备及存储介质
CN112910929A (zh) * 2021-03-24 2021-06-04 中国科学院信息工程研究所 基于异质图表示学习的恶意域名检测方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
臧小东: "基于域名行为特征分析的网络安全态势感知", 中国知网, 15 February 2022 (2022-02-15) *

Similar Documents

Publication Publication Date Title
US11030311B1 (en) Detecting and protecting against computing breaches based on lateral movement of a computer file within an enterprise
US20230199013A1 (en) Attack situation visualization device, attack situation visualization method and recording medium
US10944793B2 (en) Rules-based network security policy modification
US12019740B2 (en) Automated cybersecurity threat detection with aggregation and analysis
US8856928B1 (en) Protecting electronic assets using false profiles in social networks
US20180248879A1 (en) Method and apparatus for setting access privilege, server and storage medium
US20150287336A1 (en) Automated phishing-email training
US20140280276A1 (en) Database sharding by shard levels
US20130179974A1 (en) Inferring a state of behavior through marginal probability estimation
US10735370B1 (en) Name based internet of things (IoT) data discovery
US12019739B2 (en) User behavior risk analytic system with multiple time intervals and shared data extraction
US10623450B2 (en) Access to data on a remote device
CN110012037B (zh) 基于不确定性感知攻击图的网络攻击预测模型构建方法
US20160269431A1 (en) Predictive analytics utilizing real time events
WO2017019717A1 (en) Dynamic attachment delivery in emails for advanced malicious content filtering
CN112953938B (zh) 网络攻击防御方法、装置、电子设备及可读存储介质
US20120266186A1 (en) Providing inter-platform application launch in context
CN110737891A (zh) 一种主机入侵检测方法和装置
US9633136B2 (en) Computing architecture for storing a graph database based on temporal aspects of its edges
CN113627536A (zh) 模型训练、视频分类方法，装置，设备以及存储介质
US20130282699A1 (en) Using Authority Website to Measure Accuracy of Business Information
CN110392032B (zh) 检测异常url的方法、装置及存储介质
CN110311890B (zh) 可视化攻防图生成方法、装置、计算机设备及存储介质
CN116738369A (zh) 一种流量数据的分类方法、装置、设备及存储介质
CN116015860A (zh) 基于蜜罐技术的网络资产仿真方法、装置、设备及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination