[发明专利]一种基于网络行为的木马检测方法

权利要求书

1.一种基于网络行为的木马检测方法，其特征在于，步骤如下：

S1对网络数据包进行协议解析，识别出完整的数据包内容，对原始数据进行规范化预处理，用于特征提取；

S2从基本、流量和内容三方面提取详细的特征；

S3采用R-SVM算法，根据各个特征的贡献度大小对提取出的大量数据特征进行降维处理，删除大量的冗余数据特征，然后根据筛选后的特征从原始数据集中提取，作为SVM分类器的训练集；

S4采用组合核函数构建SVM分类器，并利用网格搜索对核函数参数进行参数寻优。

2.根据权利要求1所述的一种基于网络行为的木马检测方法，其特征在于，步骤S1的具体步骤为1.对数据包进行协议解析；2.离散型数据连续化；3.将连续型数据归一化。

3.根据权利要求1所述的一种基于网络行为的木马检测方法，其特征在于，步骤S2的具体步骤为1.提取网络数据基本特征；2.提取网络数据流量特征；3.提取网络数据内容特征。

4.根据权利要求1所述的一种基于网络行为的木马检测方法，其特征在于，步骤S3的具体步骤为1.使用当前所有候选特征训练支持向量机；2.比较当前的所有特征在支持向量机中的相对贡献大小，并按照贡献大小进行排序；3.根据事先确定好的递归选择特征数，选择出排序在前面的特征，转步骤1，直到达到所希望选择的特征数目结束。

5.根据权利要求1所述的一种基于网络行为的木马检测方法，其特征在于，步骤S4的具体步骤为1.利用多项式核函数和径向基核函数构建组合核函数；2.利用基于网格搜索的参数寻优，寻找核函数最优参数；3.将经过特征提取的数据作为训练集训练SVM分类器，用作对木马检测。