柯家龙 邢 欣 尹魏昕

国家互联网应急中心江苏分中心

0 引言

近年来，随着互联网的快速发展，不法分子利用网站（如博彩、色情、小游戏等网站）实施诈骗的案例越来越多。如何高效、精准地识别出诈骗网站显得尤为重要。

对诈骗网站生存、传播、访问等特征进行研究后发现，诈骗网站一般具有存活周期短、域名劫持和通过社交分享传播三类特征。本研究结合诈骗网站上述特征，设计三种算法，分别从不同维度提取具有高度业务价值的网站域名数据，而后利用诈骗网站在网页结构（快照）上的关键性相似特征，结合CNN（Convolutional Neural Network，卷积神经网络）算法，设计并实现了一套基于高价值域名数据的诈骗网站识别深度学习系统。

1 高价值域名数据提取

为实现高价值域名数据的提取和分析，以某单位互联网出口流量为基础实验数据，每日提取DNS域名访问和http日志数据。

1.1 环比新增域名集提取

诈骗网站域名通常具有存活周期较短的特征，即其域名在连续活跃一周后，往往就会陷入沉寂状态，此时该域名已无活动页面或者已经被注销。故本研究利用诈骗网站域名存活周期较短的特征，自主设计出了一套“环比新增域名集提取算法”。其核心过程如下：

（1）每日统计域名正确解析次数，提取解析次数超过100次的域名生成A1；

（2）每日域名数据A1与Alexa TOP 10000域名集合B1比对，丢弃命中TOP 10000的域名数据，形成集合A2；

（3）将A2与安全厂商提供的非涉诈网站白名单B2比对，丢弃命中非涉诈网站白名单的域名数据，形成集合A3；……