# Wykrywanie losowo generowanych domen (DGA)

EN: **Detection of algorithmically generated domains (DGA detection)** · id `dgadetect` · aliases: DGA detection, domain generation algorithm detection, malicious domain classification, botnet domain detection, wykrywanie domen DGA

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [Wykrywanie zagrożeń i włamań](https://aiatlasgraph.com/t/threatdetection.md) › Wykrywanie losowo generowanych domen (DGA)

## Description

- PL: Klasyfikacja nazw domen jako wygenerowanych algorytmicznie przez malware do łączności z serwerem dowodzenia, często na podstawie samego ciągu znaków.
- EN: Classifying domain names as algorithmically generated by malware to reach its command server, often from the character string alone.

## In one sentence

- PL: Rozpoznawanie adresów internetowych, które wymyślił program przestępców, a nie człowiek, po samym wyglądzie nazwy.
- EN: Spotting web addresses invented by a criminal's program rather than a person, just from how the name looks.

## Problem it solves

- PL: Zainfekowane komputery codziennie próbują tysięcy nowych adresów, by znaleźć szefa, a list blokad nie da się nadążać aktualizować.
- EN: Infected computers try thousands of new addresses daily to find their boss, and blocklists can't be updated fast enough.

## What it does

- PL: Jak sekretarka, która po samym brzmieniu nazwiska wyczuwa zmyśloną firmę dzwoniącą z „pilnym zamówieniem”.
- EN: Like a receptionist who can tell a made-up company from the sound of its name alone when it calls with an 'urgent order'.

## Everyday example

- PL: Firmowy filtr sieci zauważa, że laptop pyta o setki adresów w rodzaju bezsensownych ciągów liter, i odcina go od internetu do sprawdzenia.
- EN: The company network filter notices a laptop looking up hundreds of addresses made of meaningless letter strings and cuts it off until checked.

## This concerns you if you…

- PL: zarządzasz siecią lub serwerem nazw w firmie
- PL: chcesz zbudować pierwszy klasyfikator tekstu znak po znaku
- PL: analizujesz ruch zainfekowanych komputerów
- EN: run a network or name server at a company
- EN: want to build a first character-level text classifier
- EN: analyse traffic from infected computers

## Keywords

LSTM · character-level CNN · DNS security · botnet · command and control · dictionary DGA · passive DNS · Keras

## How it works

- PL: Model czyta nazwę domeny znak po znaku: warstwa osadzeń zamienia znaki na wektory, a sieć LSTM lub konwolucyjna zwraca prawdopodobieństwo, że domena jest wygenerowana, albo rozpoznaje rodzinę malware. Nie wymaga ręcznych cech ani kontekstu z ruchu DNS, więc działa w czasie rzeczywistym na pojedynczych zapytaniach.
- EN: The model reads the domain name character by character: an embedding layer turns characters into vectors and an LSTM or convolutional network outputs the probability that the domain is generated, or identifies the malware family. It needs no hand-crafted features or DNS traffic context, so it works in real time on single queries.

## Limits

- PL: Słabiej radzi sobie z rodzinami generującymi domeny ze słów słownikowych i z rodzinami rzadkimi w danych treningowych. Fałszywe alarmy na nietypowych, legalnych domenach są kosztowne przy milionach zapytań dziennie. Atakujący mogą dostosować generator do detektora.
- EN: It struggles with families that build domains from dictionary words and with families rare in training data. False alarms on unusual legitimate domains are costly at millions of queries per day. Attackers can adapt the generator to the detector.

## Key terms

- PL: **DGA**: Algorytm w malware, który codziennie wymyśla nowe nazwy domen.
- PL: **serwer dowodzenia**: Komputer przestępców wydający polecenia zainfekowanym maszynom.
- PL: **sinkholing**: Przejęcie domeny przez obrońców, by odciąć i policzyć zainfekowane maszyny.
- EN: **DGA**: An algorithm in malware that invents new domain names every day.
- EN: **command-and-control server**: The criminals' computer that sends orders to infected machines.
- EN: **sinkholing**: Defenders taking over a domain to cut off and count infected machines.

## Know first

- [LSTM i GRU — sieci z bramkami pamięci (LSTM and GRU (gated recurrent networks))](https://aiatlasgraph.com/t/lstmgru.md)
- [Klasyfikacja tekstu i analiza sentymentu (Text classification and sentiment analysis)](https://aiatlasgraph.com/t/textclassification.md)

## Sources

- [Predicting Domain Generation Algorithms with Long Short-Term Memory Networks](<https://arxiv.org/pdf/1611.00791>) `woodbridge-dga-lstm-2016` · by Jonathan Woodbridge, Hyrum S. Anderson, Anjum Ahuja, Daniel Grant

---

AI Atlas revision 124 (2026-10-31) · HTML: https://aiatlasgraph.com/t/dgadetect · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30