[发明专利]加密流量检测方法及装置、计算机可读存储介质、电子设备

说明书

本发明提供加密流量检测方法及装置、计算机可读存储介质、电子设备。所述方法包括：从目标文件中提取网络会话的特征作为训练样本，构建训练样本集，所述训练样本中的数据包括至少两种数据类型的数据；将预定训练样本的数据类型设定为预定算法能够识别的数据类型，并获得预处理后的训练样本集，所述预定训练样本包括从目标文件中提取出之前数据类型为预定算法能够识别的数据类型的网络会话的特征，所述预定算法能够识别至少两种数据类型的特征；采用所述预定算法构建加密流量检测模型；使用构建的加密流量检测模型对待测对象进行检测。所述装置用于执行所述加密流量检测方法。本发明构建了较全面的检测特征，节约计算资源，提高检测准确性。

技术领域

本发明涉及网络安全领域，具体地，涉及一种加密流量检测方法、一种执行该加密流量检测方法的加密流量检测装置、一种计算机可读存储介质和一种电子设备。

背景技术

随着物联网、大数据、云计算和高速移动通信网络的快速发展，信息的保密问题显得越来越重要，各种用于确保网络通信安全的安全协议得到了广泛的应用，越来越多的互联网流量被加密。加密技术保证了互联网用户的通信安全，确保信息不会被第三方截获和读取，但同时也使得传统安全检测机制面临失效。

人工智能技术的广泛应用，为发现恶意流量攻击威胁提供了重要手段。目前，恶意加密流量检测研究主要分为基于会话、基于会话统计和基于证书的检测研究。基于会话的检测主要针对网络流提取特征，采用随机森林等方法；基于会话统计的检测主要针对网络流的统计数据提取统计特征，采取极端梯度提升(eXtreme Gradient Boosting，Xgboost)、LightGBM(Light Gradient Boosting Machine)等方法；基于证书的检测针对证书提取特征，采用支持向量机(Support Vector Machine，SVM)等方法构建检测模型。

但是，现有的检测模型检测所用的特征不完善，占用内存空间大，检测准确性还有待进一步提高。

发明内容

为解决现有技术存在的上述问题的至少一个方面，本发明的目的在于提供一种加密流量检测方法、一种执行该加密流量检测方法的加密流量检测装置、一种计算机可读存储介质和一种电子设备。旨在减少加密流量检测模型占用的内存空间，进一步提高加密流量检测的准确性。

为实现上述目的，作为本发明的第一方面，提供一种加密流量检测方法，所述加密流量检测方法包括：

从目标文件中提取网络会话的特征作为训练样本，构建训练样本集，其中，所述训练样本中的数据包括至少两种数据类型的数据；

对所述训练样本集中的训练样本进行预处理，以将预定训练样本的数据类型设定为预定算法能够识别的数据类型，并获得预处理后的训练样本集，其中，所述预定训练样本包括从目标文件中提取出之前数据类型为预定算法能够识别的数据类型的网络会话的特征，所述预定算法能够识别至少两种数据类型的特征；

利用预处理后的训练样本集，采用所述预定算法构建加密流量检测模型；

使用构建的加密流量检测模型对待测对象进行检测。

可选地，所述训练样本中的数据包括数值型数据和分类数据，所述预定算法能够识别和处理所述数值型数据和分类数据。

可选地，所述预定算法包括LightGBM算法或者Catboost算法。

可选地，所述目标文件包括静态的数据包文件和/或实时的网络流量文件。

可选地，所述网络会话的特征包括会话连接特征、TLS/SSL会话特征、X509证书特征和DNS特征中的至少一者。

可选地，所述网络会话的TLS/SSL会话包含TLS/SSL握手和证书信息。

可选地，构建所述加密流量检测模型包括：