基于正常域名及其可信度的DGA检测方法

卫清才，宋礼鹏

(1. 中北大学 大数据学院，山西 太原 030051； 2. 中北大学 大数据与网络安全研究所，山西 太原 030051)

0 引 言

随着联网设备增多，采用域名生成算法(Domain Generation Algorithm, DGA)作为通讯机制的僵尸网络规模和危害不断扩大，因此如何有效检测DGA域名成为打击僵尸网络的重要方向[1]. 现有DGA检测模型虽然已经在二分类任务中有较高的精确率，但在实际应用中仍存在两点不足. 首先，训练必须依赖于正常域名和DGA域名，而DGA域名数据获取困难、 有效期短，因此，模型更新滞后，可用性低. 其次，现有模型只能检测训练集中使用的DGA域名家族，对未知类型的DGA家族检测效果很差，这是因为模型在训练过程中需要学习训练数据的特征，因此，必定会深度拟合训练集所含的DGA域名家族，进而丧失对其他未知DGA域名家族的检测能力[2-6].

本文针对以上问题提出一种仅利用正常域名及其可信度作为训练数据且能有效识别未知DGA域名家族的检测模型ProfDGA. 该方法的核心思想是让模型仅学习正常域名的特征，这样模型泛化性能就不受限于DGA域名的特征，进而使模型具备发现新型DGA家族的能力. ProfDGA通过对经验风险函数的变形，将训练时损失函数中与DGA域名相关的变量用正常域名及其可信度替换，这样模型就可以在不直接依赖DGA域名数据的条件下完成训练，仅直接学习正常域名特征，这本质上是将分类问题转化为异常检测问题.

1 相关工作

通过在僵尸主机与C&C服务器上运行相同的域名生成算法产……