[发明专利]恶意加密数据检测方法、装置、计算机设备和存储介质

权利要求书

1.一种恶意加密数据检测方法，其特征在于，包括以下步骤：

采集原始数据集，对所述原始数据集进行清洗和分流，获得加密数据集，所述加密数据集包括多个加密数据包；

使用服务器应用程序在训练阶段，访问一组加密数据包的训练数据，所述服务器应用程序被配置为在所述训练阶段期间导出用于确定所述加密数据包可能是良性还是恶意的分类算法；

使用客户端或服务器应用程序提取，来自加密数据包的特征向量，通过对所述加密数据包应用数学变换运算来生成一系列值，所述系列值代表所述加密数据包的特征值，并指示所述加密数据包是否是良性或恶意；

将所述特征向量应用于分类算法；

使用所述分类算法对所述加密数据包进行分类，根据所述特征值，得到分类结果，所述分类结果包括恶意加密数据包、良性加密数据包和未知加密数据包。

2.根据权利要求1所述的恶意加密数据检测方法，其特征在于，所述使用所述分类算法对所述加密数据包进行分类，根据所述特征值，得到分类结果，所述分类结果包括恶意加密数据包、良性加密数据包和未知加密数据包，包括：

判断特征向量A在维度B上的特征值C是否大于迭代节点j超空间在维度B上的上边界值，若是，则为恶意加密数据包；若否，则为良性加密数据包；

执行判断逻辑，如果判断结果中某一行的候选项被判断为错误，则修改该识别候选项的判断结果为未知。

3.根据权利要求1所述的恶意加密数据检测方法，其特征在于，所述使用所述分类算法对所述加密数据包进行分类，根据所述特征值，得到分类结果，所述分类结果包括恶意加密数据包、良性加密数据包和未知加密数据包之后，还包括：基于将所述特征向量应用于分类算法的结果，将分类为恶意加密数据包的恶意信息发送给客户端应用程序。

4.根据权利要求1所述的恶意加密数据检测方法，其特征在于，所述训练数据包括实际现场使用数据，所述训练数据包括一组加密数据包，所述训练数据与处置标签相关联。

5.根据权利要求1-3中任一项所述的方法，其特征在于，所述分类算法产生一个分数，所述分数表示在其关于所述加密数据包是良性还是恶意的确定中的置信度。

6.根据权利要求1-3中任一项的方法，其特征在于，所述分类算法的数据可以取自与服务器端组件通信的实际客户端系统的事务日志，所述分类算法包括多层神经网络、决策树、贝叶斯分类算法、支持向量机、逻辑回归算法。

7.根据权利要求1-3中任一项的方法，其特征在于，所述特征向量被编码和被压缩，将所述特征向量应用于分类算法之后，将所述加密数据包传送到服务器等待进一步处理。

8.一种恶意加密数据检测装置，其特征在于，所述恶意加密数据检测装置包括：

采集获得模块，用于采集原始数据集，对所述原始数据集进行清洗和分流，获得加密数据集，所述加密数据集包括多个加密数据包；

访问模块，用于使用服务器应用程序在训练阶段，访问一组加密数据包的训练数据，所述服务器应用程序被配置为在所述训练阶段期间导出用于确定所述加密数据包可能是良性还是恶意的分类算法；

提取模块，用于使用客户端或服务器应用程序提取，来自加密数据包的特征向量，通过对所述加密数据包应用数学变换运算来生成一系列值，所述系列值代表所述加密数据包的特征值，并指示所述加密数据包是否是良性或恶意；

应用模块，用于将所述特征向量应用于分类算法；

得到模块，用于使用所述分类算法对所述加密数据包进行分类，根据所述特征值，得到分类结果，所述分类结果包括恶意加密数据包、良性加密数据包和未知加密数据包。

9.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，使得所述处理器执行如权利要求1至7中任一项所述恶意加密数据检测方法的步骤。

10.一种存储有计算机可读指令的存储介质，其特征在于，所述计算机可读指令被一个或多个处理器执行时，使得一个或多个处理器执行如权利要求1至7中任一项所述恶意加密数据检测方法的步骤。