基于词素特征的轻量级域名检测算法

来源：软件学报杂志2016年第9期北京时间：

作者：张维维,龚俭,刘茜,刘尚东,胡晓艳

单位：张维维，东南大学 计算机科学与工程学院, 江苏 南京 210096;江苏省计算机网络重点实验室, 江苏 南京 21009611,龚俭，东南大学 计算机科学与工程学院, 江苏 南京 210096;江苏省计算机网络重点实验室, 江苏 南京 21009602,刘茜，东南大学 计算机科学与工程学院, 江苏 南京 210096;江苏省计算机网络重点实验室, 江苏 南京 21009603,刘尚东，东南大学 计算机科学与工程学院, 江苏 南京 210096;江苏省计算机网络重点实验室, 江苏 南京 21009604,胡晓艳，东南大学 计算机科学与工程学院, 江苏 南京 210096;江苏省计算机网络重点实验室, 江苏 南京 21009605

摘要：对网络中DNS交互报文进行检测以发现恶意服务，是网络安全监测的一个重要手段，这种检测往往要求系统能够实时或准实时地发现监测域名中的可疑对象.面对庞大的域名集合，若对所有域名使用同样强度的监测通常开销过大.通过挖掘域名字面蕴含的词素（词根、词缀、拼音及缩写）特征，提出一种轻量级检测算法，能够快速锁定可疑域名，以便后续有针对性地进行DPI检测.实验结果表明：基于词素特征的检测算法比统计n元组频率分布的方法虽然略微增加了58.3%的内存开销，但却具备抗逃避能力以及更高的准确率（相对提高35.2%）；与基于单词特征的方法相比，极大地降低了计算复杂度（相对降低64.8%），并减少了2.6%的内存开销，而准确率仅下降2.5%.

关键词：网络安全监测;域名检测;词素;字符串切分;C4.5分类器

基金资助：国家自然科学基金（60973123）；国家科技支撑计划（2008BAH37B04）；国家重点基础研究发展计划（973）（2009CB320505）；