[发明专利]一种加密流量恶意性检测模型建立、检测方法及系统

说明书

本发明公开了一种加密流量恶意性检测模型建立、检测方法及系统。建模方法包括如下步骤：步骤1：采集加密流量原始数据集，对加密流量原始数据集进行清洗和分流，获得加密流量数据集，将每个加密流量数据包标记为恶意或良性获得标签集；步骤2：提取加密流量数据集中每个加密流量数据包的TLS特征和统计特征并进行筛选，将加密流量数据集的全部优选特征作为优选特征向量集；步骤3：建立随机森林模型，将优选特征集作为训练集结合标签集对随机森林模型采用GridSearchCV网格搜索方法进行训练，将训练好的随机森林模型作为加密流量恶意性检测模型。本发明不需要对加密的恶意流量进行解密，就能检测到采用TLS连接的恶意程序。

技术领域

本发明属于网络安全技术领域，具体涉及一种加密流量恶意性检测模型建立、检测方法及系统。

背景技术

国内外关于恶意加密流量检测的研究可以追溯到2014年，当时恶意加密流量检测技术的思想是通过对数据包的解密，采用的方法是深度包检测技术与内容识别技术。采用这种方法是因为当时环境下流量加密比例低，这就使对少数加密流量采用DPI和内容识别的方法成为可能。

但随着加密流量比例增高，DPI和内容识别的方式越来越行不通。使用机器学习、深度学习技术检测异常加密流量逐渐成为国内外学者对恶意加密流量检测的一个新方向。可以在检测异常加密流量的同时，满足不解密数据包的需求，保护用户隐私安全。

由于恶意样本家族更新迭代迅速，使得具有上述属性的特征难以寻找，如果无法抓住本质核心特征属性，训练模型的通用性和实效性会大大降低。另外，也由于硬件和软件各方面的差异，如pc系统版本、手机系统版本、应用版本、不同的硬件设备，也会对表现出的特征造成部分影响，这进一步增加提取健壮可靠特征的难度。鉴于实现高精确度与健壮性的特征提取仍需面临以上困难，因此面临以下挑战：首先，需要寻求一套信息丰富且表征能力强的特征提取技术，来扩充目前匮乏的特征范围；其次，这组特征能够实现对不同硬件环境、软件环境和网络环境下的同种流量实现较高的兼容性；另外，过多特征维度会造成模型的过拟合现象，同时也会增加计算复杂度；故需要设计特征优选算法，提升特征刻画准确程度和算法准确率。

发明内容

本发明的目的在于提供一种加密流量恶意性检测模型建立、检测方法及系统，用以解决现有技术中的加密的恶意流量需要解密后才能识别，检测成本高的问题。

为了实现上述任务，本发明采用以下技术方案：

一种加密流量恶意性检测模型建立方法，包括如下步骤：

步骤1：采集加密流量原始数据集，对加密流量原始数据集进行清洗和分流，获得加密流量数据集，所述的加密流量数据集包括多个加密流量数据包，将每个加密流量数据包标记为恶意或良性获得标签集；

步骤2：提取加密流量数据集中每个加密流量数据包的TLS特征和统计特征，对每个加密流量数据包的TLS特征和统计特征采用启发式算法进行筛选获得每个加密流量数据包的优选特征向量，将加密流量数据集的全部优选特征作为优选特征向量集；

步骤3：建立随机森林模型，所述的随机森林模型包括多棵CART分类树，将优选特征集作为训练集结合步骤1获得的标签集对随机森林模型采用GridSearchCV网格搜索方法进行训练，训练过程中每轮迭代结束后更新决策树的棵数、决策树的最大深度和决策树的最大特征数，将训练好的随机森林模型作为加密流量恶意性检测模型。

进一步的，所述的TLS特征包括TLS版本、TLS密码套件、TLS扩展、TLS扩展中的SAN数量和TLS公钥长度，所述的统计特征包括负载长度状态转移矩阵和字节分布特征。

一种加密流量恶意性检测方法，包括如下步骤：

步骤一：获取待检测加密流量数据包；

步骤二：提取待检测加密流量数据包的TLS特征和统计特征；