[发明专利]基于机器学习的ICMP隧道检测方法

说明书

本发明涉及一种基于机器学习的ICMP隧道检测方法，包括以下步骤：建立ICMP隧道检测模型；获取待检测ICMP流量数据，提取待检测ICMP流量数据中的ICMP协议数据，形成待检测数据；对所述待检测数据进行预处理；对所述待检测数据进行分组操作；对所述待检测数据做特征工程处理，提取待检测特征；将所述待检测特征规范化处理；将所述待检测特征导入所述ICMP隧道检测模型中，进行ICMP隧道检测；将检测结果返回到前端界面进行展示。本发明通过对单位时间段内主机产生的ICMP数据包进行分析，并结合ICMP隧道检测模型进行检测，解决了现有技术中ICMP隧道检测过程混乱且复杂、检测误报较高以及检测效率低下等问题，增加了检测的灵活性，降低了维护成本，提高了新变种的检出率。

技术领域

本发明涉及互联网安全技术领域，特别涉及一种基于机器学习的ICMP隧道检测方法。

背景技术

在企业内网环境中，ICMP协议是必不可少的网络通信协议之一，被用于检测网络连通状态，通常情况下，防火墙会默认放此协议。由于防火墙对ICMP协议开放，恶意攻击者常会利用ICMP协议进行非法通信。例如，在黑客攻击中经常出现的一种情况是：黑客通过某一种方式取得了一台主机的权限，得到了一些文件，比如域Hash和密码文件之类的东西，需要回传至本地进行破解，但是防火墙阻断了由内网发起的请求，只有ICMP协议没有被阻断，而黑客又需要回传文件，这个时候如果黑客可以Ping通远程计算机，就可以尝试建立ICMP隧道，ICMP隧道是将流量封装进Ping数据包中，旨在利用Ping数据穿透防火墙的检测。

现在市面上已经有了很多类似的工具了，比如Icmptunnel、Ptunnel以及Icmpsh等，但是由于ICMP隧道具有隐蔽性高，检测难度大等特点，导致现有技术中的检测工具存在误报较高和效率低下等问题，还由于没有对数据进行分组以区分不同主机所发送的数据导致检测过程混乱且复杂。

因此有必要提供一种基于机器学习的ICMP隧道检测方法，以解决现有技术中检测过程混乱且复杂、检测误报较高以及检测效率低下等问题。

发明内容

本发明的目的在于提供一种基于机器学习的ICMP隧道检测方法，以解决现有技术中检测过程混乱且复杂、检测误报较高以及检测效率低下等问题。

为了解决现有技术中存在的问题，本发明提供了一种基于机器学习的ICMP隧道检测方法，包括以下步骤：

建立ICMP隧道检测模型；

获取待检测ICMP流量数据，提取待检测ICMP流量数据中的ICMP协议数据，形成待检测数据；

对所述待检测数据进行预处理；

对所述待检测数据进行分组操作；

对所述待检测数据做特征工程处理，提取待检测特征；

将所述待检测特征规范化处理；

将所述待检测特征导入所述ICMP隧道检测模型中，进行ICMP隧道检测；

将检测结果返回到前端界面进行展示。

可选的，在所述基于机器学习的ICMP隧道检测方法中，建立ICMP隧道检测模型包括以下步骤：

生成训练数据，包括正常ICMP流量数据和ICMP隧道流量数据；

从所述正常ICMP流量数据和所述ICMP隧道流量数据中解析出ICMP协议数据，形成训练数据；

对所述训练数据进行预处理；

对所述训练数据进行分组操作；

对所述训练数据做特征工程处理，提取建模特征；

将所述建模特征规范化处理；