[发明专利]流量数据特征提取方法、恶意流量识别方法及网络系统

说明书

本发明公开了一种流量数据特征提取方法、恶意流量识别方法以及网络系统。特征提取方法包括：S1，获取流量数据，包括m条数据流，分别从每条数据流中提取n个特征，构建矩阵X；S2，对矩阵X进行归一化处理获得特征值矩阵S3，对于特征值矩阵求取每列数据中两两元素的相似度构建列数据对应特征的自相似性矩阵；S4，求取特征值矩阵的每列数据对应特征的特征值直方图；取每个特征的自相似性矩阵的上三角元素，获得特征差异直方图；将每个特征的特征值直方图与特征差异直方图组合成特征的向量；S5，将n个特征的向量整合成流量数据的特征向量。特征向量对流量特征具有异变容忍能力，作为分类模型的输入，使分类器能准确识别出恶意流量及其变体。

技术领域

本发明涉及流量检测技术领域，特别是涉及一种流量数据特征提取方法、恶意流量识别方法以及网络系统。

背景技术

未来的天地一体化网络是由多种异构网络组成的混合网络，网络的安全性将面临严峻的挑战。由于空间链路和地面网络的开放性，非法用户同样可以通过攻击地面网络来截获数据以及通过地面网络对空间飞行器进行间接攻击。在未来星基互联的空间网络环境下，恶意流量攻击可能是一类严重威胁。例如，攻击者可能通过劫持卫星来隐藏身份，取代卫星与目标进行通信，进而非法获取内容；更严重的是，攻击者还可能通过改变通信流特征来逃避安全检测，即产生恶意流量变体。

传统的恶意检测技术主要有签名匹配和动态行为分析两类。其中，签名匹配只能通过签名集检测已知的恶意行为，对新型恶意攻击无能为力；动态行为分析需要消耗大量资源和时间，天地一体化网络数据分布的高计算量和连续变化使分析动态行为变得困难。并且过去网络攻击是以一种简单而随机的方式来组织，然而现在的攻击是系统而长期进行的，具有更新变化快、攻击性强的特点。因此，建立能够检测恶意流量及其变体攻击的流量检测方法及其系统，对当前地面网络(如互联网络)、未来的星基互联网络和天地一体化网络是非常重要的。

另外，随着大数据时代的到来，相比于传统数据的保存方式，将其以二进制数据的方式存储于数据存储服务器或云端上能够更加的节省成本和有效提高工作效率。随之而来问题就是如何针对互联网络环境中恶意网络流量的攻击和对数据的盗取做到有效的防范也是亟需解决的技术问题。

发明内容

本发明旨在至少解决现有技术中存在的技术问题，特别创新地提出了一种流量数据特征提取方法、恶意流量识别方法以及网络系统。

为了实现本发明的上述目的，根据本发明的第一个方面，本发明提供了一种流量数据特征提取方法，包括：步骤S1，获取流量数据；设所述流量数据中包括m条数据流，分别从每条数据流中提取n个特征，构建矩阵X：其中，m和n均为正整数；矩阵X中任一元素x_ij表示第i条数据流的第j个特征，1≤i≤m，1≤j≤n；矩阵X的n列数据与n个特征一一对应；步骤S2，对矩阵X进行归一化处理获得特征值矩阵步骤S3，对于特征值矩阵求取每列数据中两两元素的相似度并通过求取的m*m个相似度构建m*m维矩阵，将所述m*m维矩阵作为所述列数据对应特征的自相似性矩阵，获得n个自相似性矩阵；利用n个自相似性矩阵构建矩阵S，S＝{S¹,S²,...,Sⁿ}，S¹表示特征值矩阵的第1个特征的自相似性矩阵，Sⁿ表示特征值矩阵的第n个特征的自相似性矩阵；对矩阵S进行归一化处理获得矩阵步骤S4，将特征值矩阵的每列数据作为一个向量，求取每个向量的直方图，记为所述向量对应特征的特征值直方图；取每个特征的自相似性矩阵的上三角元素，获得所述特征的特征差异直方图；将每个特征的特征值直方图与特征差异直方图组合成表示所述特征的向量；步骤S5，将n个特征的向量整合成表示所述流量数据的特征向量。