[发明专利]基于挖掘的网络智能平台恶意数据检测方法和装置

说明书

技术领域

本发明涉及网络安全检测技术领域，尤其涉及一种基于挖掘的网络智能平台恶意数据检测方法和装置。

背景技术

随着科技的发展，手机等移动终端上各种应用在丰富人们生活的同时也为移动终端的安全性增添了一份隐患。当前移动终端中存在一些的恶意软件，给用户造成了极大的困扰，比如窃取了用户隐私、造成恶意的消费等。因为受移动终端的运算速度、电量等的限制，移动终端本身难以有效地对恶意软件进行检测。

现在的移动终端的恶意软件的行为与传统的PC(personal computer，个人计算机)上的恶意软件有所不同，其行为包括提取更高权限、窃取用户隐私、远程控制、发送短信等。恶意软件的窃取用户隐私和远程控制的行为都必须通过移动互联网的通信来完成，恶意软件发送和接收的数据包必然会经过移动互联网网关。与此同时，大量存在的恶意软件对移动运营商提出了一种挑战，即如何增强服务的质量，确保用户的数据安全。

因此，如何实现对恶意软件发送的恶意数据包进行有效的检测是一个亟待解决的问题。

发明内容

本发明的实施例提供了一种基于挖掘的网络智能平台恶意数据检测方法和装置，以实现在网络智能平台处实时对数据包进行有效的恶意数据检测。

一种基于挖掘的网络智能平台恶意数据检测方法，将多个综合特征向量Table＜中心，权值，作用半径＞和每个Table对应的数据包类型存储在先验数据库中，所述Table的中心为所述Table对应的数据密集区中的各个数据包的坐标化的各个字段的字段值的平均值，所述Table的作用半径为所述中心到所述数据密集区中各个数据点之间的距离的最大值，所述方法具体包括：

网络智能平台接收到待测数据包后，提取待测数据包的各个字段的字段值，根据坐标化的所述待测数据包的各个字段的字段值，计算出所述待测数据包和所述先验数据库中存储的各个Table的中心之间的距离值；

根据所述待测数据包和所述先验数据库中存储的各个Table的中心之间的距离值，以及所述先验数据库中存储的各个Table的作用半径和对应的数据包类型，判断所述待测数据包是否为恶意数据包。

所述的将多个综合特征向量Table＜中心，权值，作用半径＞和每个Table对应的数据包类型存储在先验数据库中，所述Table的中心为所述Table对应的数据密集区中的各个数据包的坐标化的各个字段的字段值的平均值，所述Table的作用半径为所述中心到所述数据密集区中各个数据点之间的距离的最大值，包括：

提取已知的各个非恶意数据包、恶意数据包的特征值，根据该特征值选取多个数据密集区，每个数据密集区中包含多个非恶意数据包或者恶意数据包；

对每一个数据密集区建立一个综合特征向量Table＜中心，权值，作用半径＞，提取一个数据密集区内的各个数据包的各个字段的字段值，计算出各个数据包的各个字段值的平均值，将各个字段值的平均值坐标化，将坐标化的各个字段值的平均值作为所述数据密集区对应的Table的中心，将所述数据密集区内的每个数据包作为一个数据点，将每个数据包的各个字段值坐标化，计算出所述Table的中心到所述数据密集区中各个数据点之间的距离值，将所有距离值中的最大值作为所述Table的作用半径，所述数据密集区所含数据点的个数作为所述Table的权值；

将建立的多个Table和每个Table对应的数据包类型存储在先验数据库中，所述数据包类型为恶意数据包或者非恶意数据包。

所述的计算所述Table的中心到所述数据密集区中各个数据点之间的距离值，包括：

设所述Table的中心为(A，B，C...M)，坐标化的所述Table对应的数据密集区中一个数据点的各个字段值为(ai，bi，ci，...mi)；

所述Table的中心到所述数据点的距离的计算公式如下：