摘要:对网络中DNS交互报文进行检测以发现恶意服务，是网络安全监测的一个重要手段，这种检测往往要求系统能够实时或准实时地发现监测域名中的可疑对象.面对庞大的域名集合，若对所有域名使用同样强度的监测通常开销过大.通过挖掘域名字面蕴含的词素（词根、词缀、拼音及缩写）特征，提出一种轻量级检测算法，能够快速锁定可疑域名，以便后续有针对性地进行DPI检测.实验结果表明：基于词素特征的检测算法比统计n元组频率分布的方法虽然略微增加了58.3%的内存开销，但却具备抗逃避能力以及更高的准确率（相对提高35.2%）；与基于单词特征的方法相比，极大地降低了计算复杂度（相对降低64.8%），并减少了2.6%的内存开销，而准确率仅下降2.5%.