1.一种基于DNS解析的主机异常行为分析方法，其特征在于，所述方法包括以下步骤：步骤S1：建立待观测主机的信任进程列表，所述信任进程列表存储所述待观测主机的多个可信进程；查找分析服务器中存储的行为模型，所述行为模型是与进程对应的用于进行异常行为分析的模型；将具有行为模型的所述信任进程列表中的进程的标记项记为所述行为模型，将缺少行为模型的所述信任进程列表中的进程的标记项记为待生成行为模型；步骤S2：所述待观测主机部署采集模块，用于采集数据，所述数据包括所述待观测主机的当前进程的相关信息以及所述当前进程对应的域名信息，所述域名信息是基于所述当前进程的域名解析行为确定的域名的信息；步骤S3：所述分析服务器部署分析模块，用于接收所述待观测主机的当前进程以及所述当前进程对应的域名信息；基于所述当前进程在进程的生命周期中的阶段信息及所述当前进程对应的域名信息，补充所述域名信息对应的域名的属性信息；获取所述当前进程的标记项，基于所述当前进程的标记项，确定所述当前进程对应的行为模型，其中，若所述当前进程的标记项为待生成行为模型，则基于补充后的域名的属性信息确定所述当前进程的行为模型，并将所述当前进程的标记项记为所述当前进程对应的行为模型；步骤S4：基于所述当前进程的域名信息、补充后的域名的属性信息以及所述当前进程对应的行为模型，应用异常行为判定策略，确定所述待观测主机是否正常。
2.如权利要求1所述的方法，其特征在于，所述步骤S1，在所述查找所述分析服务器中存储的行为模型之前，将所述信任进程列表发送给部署于所述分析服务器上的分析模块。
3.如权利要求2所述的方法，其特征在于，所述基于所述当前进程在进程的生命周期中的阶段信息及所述当前进程对应的域名信息，补充所述域名信息对应的域名的属性信息，包括：从所述当前进程的整个生命周期的角度，将其划分为三个阶段，分别是：初始化阶段、业务阶段和终止阶段；当划分完成，所述当前进程处于该阶段内解析的所有域名，具备该阶段的标签。
4.如权利要求3所述的方法，其特征在于，所述基于所述进程在该进程的生命周期中的阶段信息及所述当前进程对应的域名信息，补充所述域名信息对应的域名的属性信息，包括：获取所述当前进程在当前阶段对应的域名信息，确定所述当前进程在当前阶段对应的域名信息对应的域名族，具体包括：获取所述当前进程在当前阶段对应的域名信息，对于所述当前进程在当前阶段对应的域名信息中的每一个，均执行以下操作：按匹配规则确定所述当前进程对应的域名信息归属的域名族；所述补充后的域名的属性信息，包括：域名的IP信息，所述域名的IP信息包括IP地址、IP国家信息和IP的ASN信息。
5.如权利要求4所述的方法，其特征在于，所述步骤S4，包括：获取所述分析服务器中存储的恶意进程的行为模型，确定所述恶意进程的行为模型与所述当前进程对应的行为模型的第一相似度，若所述第一相似度大于第一预设阈值BR，则确定所述待观测主机为异常；进一步地，所述第一相似度的计算方式为：其中，α j 和β j 分别为阶段j的域名和域名族在一致性中的权重，α j +β j ＝1；|D ij |和|Z ij |分别为所述当前进程的阶段j对应的域名族i中的域名与历史数据中对应阶段和域名族的匹配数和总数；n为域名族数量；|P z |和|Z j |分别是所述当前进程对应的域名族与历史数据中某进程的域名族的匹配数和总数。
6.如权利要求5所述的方法，其特征在于，所述步骤S4，还包括：获取所述当前进程对应的行为模型，将其与对应的正常进程的历史行为模式进行比对，计算域名族上的一致性；若通过域名族一致性不可判定，则计算导致偏差的域名与该进程历史解析域名的一致性；所述域名族一致性的计算方式为：
7.如权利要求6所述的方法，其特征在于，所述计算导致偏差的域名与该进程历史解析域名的一致性，包括：其中，D为未匹配到域名族的域名的集合，IP(d i )、country(d i )和asn(d i )分别表示计算第i个域名的解析IP地址、IP国家信息和IP的ASN信息；IPset，Cset，Aset分别为该进程历史解析域名的IP地址集合、IP的国家信息集合和IP的ASN信息集合。
8.一种基于DNS解析的主机异常行为分析装置，其特征在于，所述装置包括：初始化模块：配置为建立待观测主机的信任进程列表，所述信任进程列表存储所述待观测主机的多个可信进程；查找所述分析服务器中存储的行为模型，所述行为模型是与进程对应的用于进行异常行为分析的模型；将具有行为模型的所述信任进程列表中的进程的标记项记为所述行为模型，将缺少行为模型的所述信任进程列表中的进程的标记项记为待生成行为模型；解析模块：配置为所述待观测主机部署采集模块，用于采集数据，所述数据包括所述待观测主机的当前进程的相关信息以及所述当前进程对应的域名信息，所述域名信息是基于所述当前进程的域名解析行为确定的域名的信息；信息获取模块：配置为所述分析服务器部署分析模块，用于接收所述待观测主机的当前进程以及所述当前进程对应的域名信息；基于所述当前进程在进程的生命周期中的阶段信息及所述当前进程对应的域名信息，补充所述域名信息对应的域名的属性信息；获取所述当前进程的标记项，基于所述当前进程的标记项，确定所述当前进程对应的行为模型，其中，若所述当前进程的标记项为待生成行为模型，则基于补充后的域名的属性信息确定所述当前进程的行为模型，并将所述当前进程的标记项记为所述当前进程对应的行为模型；判断模块：配置为基于所述当前进程的域名信息、补充后的域名的属性信息以及所述当前进程对应的行为模型，应用异常行为判定策略，确定所述待观测主机是否正常。
9.一种基于DNS解析的主机异常行为分析系统，其特征在于，包括：处理器，用于执行多条指令；存储器，用于存储多条指令；其中，所述多条指令，用于由所述存储器存储，并由所述处理器加载并执行如权利要求1-7之任一项所述方法。
10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有多条指令；所述多条指令，用于由处理器加载并执行如权利要求1-7之任一项所述方法。
