[发明专利]面向大流量基于可信度的网络恶意行为检测方法

摘要

面向大流量基于可信度的网络恶意行为高速检测方法。本发明不需要提前训练一个恶意行为检测模型，通过实时分析用户的网络行为，设立滑动窗口，动态跟踪用户的行为习惯，基于用户给定的可信度，实时检测网络恶意行为。首先，选择若干特征点，将网络行为抽象为特征向量。网络恶意行为对应的特征向量组成恶意行为特征矩阵，时间窗内的用户正常行为对应的特征向量组成正常行为特征矩阵。其次，确定不一致性度量函数，计算正常特征矩阵的所有特征向量和未知网络行为的特征向量与恶意行为特征矩阵的不一致性得分。最后，计算该网络行为的统计量p‑value，若大于用户可接受的最大错误概率，则预测该行为是恶意行为。

主权项

1.面向大流量基于可信度的网络恶意行为检测方法，其特征在于该方法包括如下步骤：第1步、基本概念：(1)网络恶意行为：网络恶意行为是指，以数据包为载体的，在未明确提示用户或未经用户许可的情况下，通过网络对用户计算机或其他终端进行的、侵犯用户合法权益的恶意行为；(2)不一致性函数：描述一个样本与一组样本的不一致性，输入是一组样本和一个测试样本，输出是一个数值，也叫做不一致性得分；不同样本与同一组样本的不一致性得分之间可以比较，得分越高，说明样本与该组样本越不一致，得分越低，说明样本与该组样本越一致；(3)统计量p‑value：描述一个样本的不一致性得分在一组样本中的百分位，取值范围在0到1之间，从统计的角度刻画一个样本与一组样本的相似性；(4)时间窗：一个时间段，用来进行网络行为的过滤；判断网络行为的发生时间是否在指定的时间段内，如果在该时间段内，就说明该网络行为能够在指定的时间窗内被观测到；当前时间窗，是指以当前时间作为终点的过去的一段指定长度的时间段；第2步、网络行为特征的提取第2.1、确定网络行为的表示粒度，其中包括：数据包级粒度，每个数据包表示一个网络行为；NetFlow级粒度，一个网络连接过程的所有网络数据表示一个网络行为；应用级粒度，一个应用过程的所有数据包表示一个网络行为；第2.2、提取网络行为的特征点f；根据不同的数据集，选择不同的网络行为特征点f；第2.3、选择特征点，将网络行为抽象成特征向量V；在可选网络行为特征点中，选择n个特征点组成特征向量V(f1,f2,...fn)，使用选择的网络行为特征点作为网络行为的抽象表示，将二进制的网络数据映射成特征点组成的特征向量；第2.4、网络恶意行为集合的特征矩阵表示；网络恶意行为集合中包含了N个行为，每个行为都使用相同结构的特征向量V_i表示，1≤i≤N，这N个特征向量组成网络恶意行为特征矩阵C；特征矩阵的每一列表示一个特征点、每一行表示一个网络恶意行为的特征向量；第3步、当前时间窗内用户正常行为与网络恶意行为一致性度量第3.1、确定不一致性度量函数A(V,C)；不一致性度量函数的输入是网络行为特征向量V，网络恶意行为特征矩阵C，返回值是V与C的不一致性得分s；不一致性度量函数A是任何能够表示不一致性的函数；第3.2、提取当前时间窗内所有用户正常行为，正常行为个数为N₁，根据第2.4步的网络行为特征提取方法，提取正常行为特征矩阵B；第3.3、计算正常行为特征矩阵B中的所有网络行为特征向量V和恶意行为特征矩阵C的不一致性得分，得到所有正常行为特征向量对于恶意行为特征矩阵的不一致性得分集合S_B；第4步、未知网络行为与时间窗内用户正常行为一致性度量第4.1、计算未知网络行为特征向量V相对于恶意行为特征矩阵C的不一致性得分s_v；第4.2、统计不一致性得分集合S_B中小于s_v的元素个数，记为N_v；未知网络行为相对于时间窗内用户正常行为的统计量p‑value＝N_v/(N+1)；第5步、面向大流量基于可信度的恶意行为检测第5.1、用户给出可接受的可信度Conf，用户只接受准确率在Conf之上的检测结果；第5.2、计算可接受的最大错误率ε＝1‑Conf；第5.3、如果网络行为特征向量V与恶意行为特征矩阵C的不一致性得分s_v，对于时间窗内所有正常行为特征向量对于恶意行为特征矩阵的不一致性得分集合S_B的p‑value大于ε，则有Conf的可信度，预测该网络行为是网络恶意行为，按照用户设定的处理方法进行处理；第5.4、如果检测结果显示，该网络行为不是恶意行为，则该网络行为的特征向量V将自动吸收进用户正常行为特征矩阵B中，根据当前的时间点，滑动时间窗，删除时间窗之外的用户正常行为，生成更新后的用户正常行为特征矩阵B'，原有的特征矩阵将过期，后面的检测使用新的特征矩阵B'；第5.5、如果在吸收网络行为V之后，发现新的未知网络行为V'，对于V'是否为恶意的判断将采用最新的正常行为特征矩阵B'，然后重复第4步和第5步的分析过程。