(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111445685.7 (22)申请日 2021.11.30 (71)申请人 安天科技 集团股份有限公司 地址 150028 黑龙江省哈尔滨市高新 技术 产业开发区科技创新城创新创业广场 7号楼 （世坤路838号） (72)发明人 许梦磊　童志明　肖新光　 (74)专利代理 机构 北京科衡知识产权代理有限 公司 11928 代理人 王淑静 (51)Int.Cl. H04L 9/40(2022.01) H04L 61/4511(2022.01) (54)发明名称 恶意域名判定方法、 装置、 电子设备及存储 介质 (57)摘要 本发明的实施例公开了一种恶意域名判定 方法、 装置、 电子设备及存储介质， 涉及网络安全 技术领域， 能够对恶意域名实现预测性判定。 所 述恶意域名判定方法包括： 获取待判定的域名； 分析所述待判定的域名， 得到表征领域向量值和 行为领域向量值； 将所述表征领域向量值和行为 领域向量值 分别转换为平面直角坐标系中x轴坐 标点和y轴坐标点； 组合所述x轴坐标点和y轴坐 标点， 得到所述待判定的域名转换后在平面直角 坐标系中的坐标位置； 将所述坐标位置转换成预 设Poicare圆盘中的坐标位置； 计算转换后的 Poicare圆盘中的坐标位置与所述预设Poicare 圆盘的中心的距离； 根据所述距离， 判断所述域 名的恶意程度。 本发明适用于恶意c2域名的判 定。 权利要求书2页 说明书11页 附图4页 CN 114143084 A 2022.03.04 CN 114143084 A 1.一种恶意 域名判定方法， 其特 征在于， 包括： 获取待判定的域名； 分析所述待判定的域名， 得到表征领域向量值和行为领域向量值， 其中表征领域包括： 域名中有含义单词的平均长度、 域名中有含义单词的个数、 域名中混淆字 符的个数、 域名中 混淆字符的平均相 邻程度中至少一个， 行为领域包括域名连接时长比例、 域名连接时段、 域 名连接端口是否为协议标准端口、 域名连接端口是否为约定常用端口中至少一个； 将所述表征领域向量值和行为领域向量值分别转换为平面直角坐标系中x轴坐标点和 y轴坐标点； 组合所述x轴坐标点和y轴坐标点， 得到所述待判定的域名转换后在平面直角坐标系中 的坐标位置； 将所述坐标位置转换成预设Po icare圆盘中的坐标位置； 计算转换后的Po icare圆盘中的坐标位置与所述预设Po icare圆盘的中心的距离； 根据所述距离， 判断所述 域名的恶意 程度。 2.根据权利要求1所述的方法， 其特征在于， 所述分析所述待判定的域名， 得到表征领 域向量值和行为领域向量 值， 包括： 分析所述待判定的域名， 得到含义指数和混淆指数， 组合所述含义指数和混淆指数得 到所述表征领域向量值， 其中所述含义指数 由域名中有含义单词的平均长度、 域名中有含 义单词的个数中至少一个计算得到， 所述混淆指数 由域名中混淆字符的个数、 域名中混淆 字符的平均相邻程度中至少一个 计算得到； 分析所述待判定的域名， 得到时间指数和端口指数， 组合所述时间指数和端口指数得 到所述行为领域向量值， 其中所述时间指数 由域名连接时长比例、 域名连接时段中至少一 个计算得到， 所述端口指数 由域名连接端口是否为协议标准端口、 域名连接端口是否为约 定常用端口中至少一个 计算得到 。 3.根据权利要求1所述的方法， 其特征在于， 所述将所述表征领域向量值和行为领域向 量值分别转换为平面 直角坐标系中x轴坐标点和y轴坐标点， 包括： 将所述表征领域向量值和行为领域向量值赋予权重向量后分别得到平面直角坐标系 中x轴坐标点和y轴坐标点。 4.根据权利要求1 ‑3中任一所述的方法， 其特征在于， 所述根据所述距离， 判断所述域 名的恶意 程度， 包括： 根据所述距离与预设阈值的关系， 判断所述 域名的恶意 程度。 5.一种恶意 域名判定装置， 其特 征在于， 包括： 获取模块， 用于获取待判定的域名； 分析模块， 用于分析所述待判定的域名， 得到表征领域向量值和行为领域向量值， 其中 表征领域包括域名中有含义单词的平均长度、 域名中有含义单词的个数、 域名中混淆字符 的个数、 域名中混淆字符的平均相 邻程度中至少一个， 行为领域包括域名连接时长比例、 域 名连接时段、 域名连接端口是否为协议标准端口、 域名连接端口是否为约定常用端口中至 少一个； 第一转换模块， 用于将所述表征领域向量值和行为领域向量值分别转换为平面直角坐 标系中x轴坐标点和y轴坐标点；权　利　要　求　书 1/2 页 2 CN 114143084 A 2组合模块， 用于组合所述x轴坐标点和y轴坐标点， 得到所述待判定的域名转换后在平 面直角坐标系中的坐标位置； 第二转换模块， 用于将所述 坐标位置转换成预设Po icare圆盘中的坐标位置； 计算模块， 用于计算转换后的Poicare圆盘中的坐标位置与所述预设Poicare 圆盘的中 心的距离； 判断模块， 用于根据所述距离， 判断所述 域名的恶意 程度。 6.根据权利要求5所述的装置， 其特 征在于， 所述分析模块包括： 第一分析子单元， 用于分析所述待判定的域名， 得到含义指数和混淆指数， 组合所述含 义指数和混淆指数得到所述表征领域向量值， 其中所述含义指数由域名中有含义单词的平 均长度、 域名中有含义单词的个数中至少一个计算得到， 所述混淆指数 由域名中混淆字符 的个数、 域名中混淆字符的平均相邻程度中至少一个 计算得到； 第二分析子单元， 用于分析所述待判定的域名， 得到时间指数和端口指数， 组合所述 时 间指数和端口指数得到所述行为领域向量值， 其中所述时间指数 由域名连接时长比例、 域 名连接时段中至少一个计算得到， 所述端口指数 由域名连接端口是否为协议标准端口、 域 名连接端口是否为约定常用端口中至少一个 计算得到 。 7.根据权利要求5所述的装置， 其特 征在于， 所述第一 转换模块包括： 转换子单元， 用于将所述表征领域向量值和行为领域向量值赋予权重向量后分别得到 平面直角坐标系中x轴坐标点和y轴坐标点。 8.根据权利要求5 ‑7中任一所述的装置， 其特 征在于， 所述判断模块包括： 判断子单 元， 用于根据所述距离与预设阈值的关系， 判断所述 域名的恶意 程度。 9.一种电子设备， 其特征在于， 所述电子设备包括： 壳体、 处理器、 存储器、 电路板和电 源电路， 其中， 电路板安置在壳体 围成的空间内部， 处理器和存储器设置在电路板上； 电源 电路， 用于为上述电子 设备的各个电路或器件供电； 存储器用于存储 可执行程序 代码； 处理 器通过读取存储器中存储的可执行程序代码来运行与可执行程序 代码对应的程序， 用于执 行上述权利要求1 ‑4任一所述的方法。 10.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质存储有一个或者 多个程序， 所述一个或者多个程序可被一个或者多个处理器执行， 以实现上述权利要求 1‑4 任一所述的方法。权　利　要　求　书 2/2 页 3 CN 114143084 A 3