基于字典的域名生成算法生成域名的检测方法

摘要

针对基于字典的域名生成算法(DGA)生成域名与良性域名构成十分相似,现有技术难以有效检测的问题,提出一种卷积神经网络(CNN)和长短时记忆(LSTM)网络相结合的网络模型——CL模型.该模型由字符嵌入层、特征提取层及全连接层三部分组成.首先,字符嵌入层对输入域名的字符进行编码;然后,特征提取层将CNN与LSTM串行连接在一起,对域名字符特征进行提取,即通过CNN提取域名字符的n-grams特征,并将提取结果输入给LSTM,以便学习n-grams间的上下文特征,同时,为了学习不同长度的n-grams特征,可选择多组CNN与LSTM结合使用;最后,全连接层根据提取到的特征对基于字典的DGA生成域名进行分类预测.实验结果表明:当CNN选择的卷积核大小为3和4时,所提模型性能最佳.在四个基于字典的DGA家族的测试对比实验中,CL模型与CNN模型相比,准确率提升了2.20％,且随着样本家族数量的增加,CL模型具有更好的稳定性.