软件学报

作者：张震，张三峰，杨望

单位：张震，东南大学 网络空间安全学院, 江苏 南京 21118911,张三峰，东南大学 网络空间安全学院, 江苏 南京 211189;教育部计算机网络和信息集成重点实验室(东南大学), 江苏 南京 21118902,杨望，东南大学 网络空间安全学院, 江苏 南京 211189;教育部计算机网络和信息集成重点实验室(东南大学), 江苏 南京 21118903

关键词：恶意域名检测;属性异构图;图神经网络;非对称编码;自监督学习

基金：国家自然科学基金(62272100)

域名是实施网络犯罪行为的重要环节, 现有的恶意域名检测方法一方面难以利用丰富的拓扑和属性信息, 另一方面需要大量的标签数据, 检测效果受限而成本较高. 针对该问题, 提出一种基于图对比学习的恶意域名检测方法, 以域名和IP地址作为异构图的两类节点并根据其属性建立对应节点的特征矩阵, 依据域名之间的包含关系、相似度度量以及域名和IP地址之间对应关系构建3种元路径; 在预训练阶段, 使用基于非对称编码器的对比学习模型, 避免图数据增强操作对图结构和语义的破坏, 也降低对计算资源的需求; 使用归纳式的图神经网络图编码器HeteroSAGE和HeteroGAT, 采用以节点为中心的小批量训练模式来挖掘目标节点和邻居节点的聚合关系, 避免直推式图神经网络在动态场景下适用性较差的问题; 下游分类检测任务则对比使用了逻辑回归、随机森林等算法. 在公开数据上的实验结果表明检测性能相比已有工作提高2–6个百分点.

来源：2024年第10期

《软件学报》期刊编辑部

查看软件学报杂志2024年第10期