基于生成对抗网络的恶意域名训练数据生成方法.pdf

(19)国家知识产权局(12)发明专利申请(10)申请公布号CN115913764A(43)申请公布日2023.04.04(21)申请号202211607919.8(22)申请日2022.12.14(71)申请人国家计算机网络与信息安全管理中心甘肃分中心地址730030甘肃省兰州市城关区广场北路116号(72)发明人刘伟山马旭琦汪航李娟红刘一丹(74)专利代理机构西安铭泽知识产权代理事务所(普通合伙)61223专利代理师张举(51)Int.Cl.H04L9/40(2022.01)G06N3/08(2023.01)G06N3/0455(2023.01)权利要求书2页说明书10页附图5页(54)发明名称基于生成对抗网络的恶意域名训练数据生成方法(57)摘要本发明提供了基于生成对抗网络的恶意域名训练数据生成方法，涉及网络信息安全技术领域，包括：(1)获取真实Alexa域名，构建域名数据集；(2)构建域名自编码器网络并训练；(3)利用训练好的域名自编码器网络构建域名生成对抗网络模型；(4)真实数据与自身产生数据判断，进行判别输出；(5)采用MMD检验输出样本与真实域名判别是否来自相同分布；(6)输出训练数据。本发明采用基于最大均值差异MMD的两样本检验方法来验证生成器的输出样本与真实的Alexa域名样本来自相同的分布，保证生成模型和生成数据的有效性。CN115913764ACN115913764A权利要求书1/2页1.基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，包括如下步骤：获取真实域名，构建域名数据集；构建域名自编码器网络，将域名数据集输入域名自编码器网络进行预训练，得到训练后的域名自编码器网络；利用训练好的域名自编码器网络构建域名生成对抗网络模型，通过对真实数据与域名生成对抗网络模型产生的恶意域名数据进行判断，并输出判断结果；对域名生成对抗网络模型进行训练，并利用最大均值差异MMD检验判别域名生成对抗网络模型的输出样本是否与真实域名来自相同的分布，检验通过则停止训练，输出训练完成后的恶意域名训练数据。2.如权利要求1所述的基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，所述构建域名自编码器网络包括：通过3个平行的卷积网络和1个LSTM网络级联组成域名自编码器网络；通过3个卷积网络的卷积滤波核尺寸对应捕获域名数据字符间的n‑gram信息；通过LSTM网络挖掘和表示变长域名序列的潜在特征，生成可变长序列。3.如权利要求1所述的基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，所述将域名数据集输入域名自编码器进行预训练包括如下步骤：对所述真实域名进行序列标记，进行独热编码；将所述独热编码后的序列输入级联的卷积层，并将级联的卷积层输出结果并列拼接后送入到另一个卷积层；将另一个所述卷积层输出结果输入展平层，利用展平层将输入序列平展成一个一维的矢量矩阵，作为编码器的输出；通过重构层将一维的输入序列重组成一个二维矢量矩阵；将所述二维矢量矩阵输入级联卷积层并输出，将输出结果并列拼接后送入输出卷积层；将输出卷积层的结果去除序列标记，得到原始域名。4.如权利要求1所述的基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，所述利用将训练好的域名自编码器构建域名生成对抗网络模型包括如下步骤：利用解码器构建GAN网络生成器并进行训练；利用编码器构建GAN网络判别器并进行训练；通过所述GAN网络生成器与GAN网络判别器构成域名生成对抗网络模型。5.如权利要求4所述的基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，所述GAN网络生成器的网络结构由一个全连接层与解码器构成，所述利用解码器构建GAN网络生成器并进行训练的训练步骤包括：使用随机噪声发生器产生在[‑1,1]上均匀分布的噪声；通过全连接层对随机噪声的线性变换，得到与编码器输出维度一致的维度；利用ReLU函数对线性变换的随机噪声进行激活；将激活的随机噪声送入解码器，得到输出域名的标记采样。6.如权利要求4所述的基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，所述GAN网络判别器的网络结构由编码器和一个全连接层构成，所述利用编码器构建GAN网2CN115913764A权利要求书2/2页络判别器并进行训练的训练步骤包括：所述编码器接收真实的Alexa域名或生成器生成的假域名序列并进行编码；将所述编码后的数据经过全连接层变换为低维数据；通过Sigmoid函数对所述低维数据进行激活并输出结果。7.如权利要求6所述的基于生成对抗网络的恶意域名训练数据生成方法，其特征在于，在所述训练GAN网络生成器的网络时，将预训练好的编码器的权重参数进行冻结，再对GAN网络生成器的全连接网络进行训练；在所述训练GAN网络判别器的网络时，将预训练好的编码器的权重参数进行冻结，再对GAN网