[发明专利]基于六维空间流量分析模型的木马回联检测系统及方法

摘要

本发明提出了基于六维空间流量分析模型的木马回联检测系统及方法，将流量数据拓展扩大，以六维空间、23元组的数据来观察使用了DGA算法的木马回联流量，得到更为高效、准确的检测方法。本发明不再利用传统的固定特征识别方式，而采用模型化、统计化的检测方式；本发明不用维护一个庞大的特征库，并且可以高效、准确的检测到使用DGA算法的木马回联流量；本发明将流量特征发散到23元组，将流量各部分特征通过六维空间模型表征出来，通过该模型能够有效实现对流量更加全面的分析；进一步地，本发明可对恶意行为进行追踪溯源。

主权项

1.一种六维空间流量分析模型生成系统，其特征在于，包括：维度建立模块，用于建立由源IP、源端口、目的IP、目的端口、协议号组成的基本要素维度；建立由每一次会话的开始时间和结束时间组成的时间维度；建立由斜率、传输速度组成的变化维度；建立由固定关键字、浮动关键字、关键载荷信息、用户身份标识、应用标识组成的信息维度；建立根据相同五元组包数形成的关联维度；建立由源IP经度、源IP纬度、源IP国家、源IP城市、目的IP经度、目的IP纬度、目的IP国度、目的IP城市组成的空间维度；模型建立模块，用于将所述基本要素维度、时间维度、变化维度、信息维度、关联维度、空间维度进行组合，得到六维空间流量分析模型。