一种基于旁路网络全流量与行为特征DGA域名识别方法

摘要

本发明涉及基于旁路网络全流量与行为特征DGA域名识别方法，通过旁路监听方式提取DNS流量信息，在提取到的DNS流量中通过DGA行为刻画分析，先通过流量特征找出可疑IP，进一步分析相关域名产生DGA域名及相关请求IP的告警，通过交换机旁路镜像端口接收用户网络流量，分离出DNS流量进行聚合；提取相关特征值存入数据库进行分析技术来解决DGA域名难以识别难题。本发明通过对DGA进行行为分析，使用启发式算法设计多级规则进行管道式多级聚合处理，辅以域名长度检查及白名单清洗，解决了目前机器学习算法需逐个检查流量中全部域名，执行效率低，以及对新DGA变种识别能力差的难题，极大地降低了运算量和规则复杂度，提高了对新变种的识别能力。