[发明专利]一种用于检测恶意流量的方法、装置及电子设备

说明书

本发明提供了一种用于检测恶意流量的方法、装置及电子设备，其中，该方法包括：获取多个样本单向加密流量，其分为正常加密流量和恶意加密流量且包括协议元数据和多个协议包；确定协议包中的ACK值，按照时间顺序对ACK值进行排序；确定ACK值的差值，并根据多个差值确定样本单向加密流量的特征值；根据样本单向加密流量的协议元数据和特征值训练得到预测模型，基于预测模型预测目标单向加密流量是否是恶意加密流量。通过本发明实施例提供的用于检测恶意流量的方法，利用ACK值的差值能够确定缺失的对端单向加密流量所传输数据的大小，能够在当前端的协议元数据的基础上，还基于对端的信息判断当前端的单向加密流量是否是恶意流量，提高了预测准确率。

技术领域

本发明涉及加密流量分析技术领域，具体而言，涉及一种用于检测恶意流量的特征集的构造方法、装置、电子设备及计算机可读存储介质。

背景技术

随着加密业务的普及和网络安全意识的提高，在互联网中使用加密业务进行通信的情况越来越多。目前，使用机器学习技术对加密流量进行检测逐渐成为热点，但是当前互联网中却存在大量因丢失数据包、上下行分离等原因导致加密流量的双向流不完整，或者仅存在单向流的加密流量等问题，现有机器学习方案缺乏对此类特殊情况的应对。现有加密流量检测大多利用人工智能算法构建模型进行检测，构建模型时需要采集客户端和服务端的多个特征进行训练，当双向流不完整或仅存在单向流时，造成特征不全、错误，进而影响模型检测的准确性。

发明内容

为解决现有存在的技术问题，本发明实施例提供一种用于检测恶意流量的方法、装置、电子设备及计算机可读存储介质。

第一方面，本发明实施例提供了一种用于检测恶意流量的方法，包括：获取多个样本单向加密流量，所述样本单向加密流量分为正常加密流量和恶意加密流量，且所述样本单向加密流量包括协议元数据和多个协议包；确定所述样本单向加密流量的所述协议包中的ACK值，按照时间顺序对所述ACK值进行排序，得到ACK序列；确定所述ACK序列中相邻的两个所述ACK值的差值，并根据多个所述差值确定所述样本单向加密流量的特征值；根据所述样本单向加密流量的所述协议元数据和所述特征值训练得到预测模型，基于所述预测模型预测目标单向加密流量是否是恶意加密流量。

可选地，确定所述样本单向加密流量的所述协议包中的ACK值，按照时间顺序对所述ACK值进行排序，得到ACK序列，包括：将所述样本单向加密流量的第一个所述协议包的ACK值设定为ACK序列的第一个元素A₁；确定所述样本单向加密流量的多个其他协议包的ACK值，按照时间顺序对所述多个其他协议包的ACK值进行排序并依次设定为所述ACK序列的相应元素A₂、A₃……A_n，得到ACK序列{A₁,A₂,……,A_n}。

可选地，根据所述样本单向加密流量的所述协议元数据和所述特征值训练得到预测模型，基于所述预测模型预测目标单向加密流量是否是恶意加密流量，包括：确定所述样本单向加密流量的设备标识，所述设备标识与所述样本单向加密流量中的问候消息相一致；所述设备标识包括客户端或服务端，所述问候消息包括客户端问候消息或者服务端问候消息；根据所述样本单向加密流量的所述协议元数据和所述特征值训练得到所述设备标识的预测模型；在所述目标单向加密流量中的问候消息与所述设备标识相一致时，基于所述设备标识的预测模型预测所述目标单向加密流量是否是恶意加密流量。

可选地，该方法还包括：为每种所述设备标识设置相应的预测模型；其中，所述基于所述预测模型预测目标单向加密流量是否是恶意加密流量包括：选取所述设备标识与所述目标单向加密流量中的的问候消息相一致的预测模型，并基于选取的预测模型预测所述目标单向加密流量是否是恶意加密流量。

可选地，特征值包括所述差值的最大值、最小值、平均值、方差、差异系数、元素个数、马尔科夫转移概率中的一项或多项。