周 康，万 良，丁红卫

1.贵州大学 计算机科学与技术学院，贵阳550025

2.贵州大学 软件与理论研究所，贵阳550025

1 引言

当前，各种针对网络通信域名服务系统的攻击层出不穷。通过注册恶意域名植入软件，引诱用户访问该域名而非目标网站，进行违法违纪等活动，已成为威胁互联网安全运行的重要问题之一。

垃圾邮件、僵尸网络、钓鱼欺诈以及远控木马等恶意攻击往往需要进行恶意域名解析。所谓恶意域名解析实际上是利用了域名解析中的递归查询流程，将用户正常DNS（Domain Name System）请求解析到攻击者的恶意服务器上。基于该原理，黑客通过域名生成算法随机注册少数域名就可以对目标主机实施攻击。目前主流的恶意域名检测方法包括传统方法和深度学习方法。传统方法，通过分析恶意域名生成算法的域名特征建立域名检测分类器，并建立域名黑名单。通过嗅探DNS请求人工提取特征，寻找恶意域名并提醒自动分类工具或用户进行防御。文献[1-3]方法通过将域名集分组聚类为每个组设定数据属性，在不断训练和测试数据之后建立规则库来区分潜在恶意域名。但这些方法忽略上下文信息，比如HTTP头、NXDomain、被动DNS域。当数据信息量过少时，将导致检测精度不高。文献[4-5]和上述方法类似，通过对域名进行字符串分析，如字符串长度、元/辅音字母个数、熵等，针对恶意域名特点人工设计一些特征，再利用现有传统分类器进行检测。首先，此类方法未利用上下文信息，但当有子更新时就需要重新设计特征，计算量大。……