[发明专利]实时在线学习的网络恶意行为检测方法

说明书

实时在线学习的网络恶意行为检测方法。本发明不需要提前训练一个恶意行为检测模型，通过实时分析用户的网络行为，吸收用户的行为习惯，基于用户设定的可信度，实时检测网络恶意行为。首先提取网络行为的特征点，组成网络行为的特征向量。把大量的用户正常网络行为的特征向量组成特征矩阵。其次确定不一致性度量函数，计算一个特征矩阵中所有特征向量与该矩阵的不一致性得分，根据计算结果计算出每个特征向量的统计量p‑value。根据用户给定的可信度和网络行为的p‑value的大小关系判断该行为的性质。最后，对每一个新发现的未知行为重复上述过程，若判断为恶意，则报告给用户；否则将该行为吸收进用户正常行为集合，作为下一次检测的输入。

【技术领域】：本发明属于计算机防病毒技术领域。

【背景技术】：根据最近一年AV-Test的统计报告显示，平均每天有超过38万个新恶意样本被发现，远远超过人工分析能力。目前，机器学习已经被公认为是海量恶意代码分析、识别的主要方法。但是，恶意行为在不断的演化和变异。在恶意代码检测领域，机器学习模型的退化问题比较严重。一段时间后，为了保证检测率，恶意行为检测模型不得不进行重新训练，重新确定阈值。因此，需要一种能够实时更新，动态吸收新发现的知识的检测方法，能够根据用户行为的知识库、用户可接受的错误概率，实时分析和检测恶意行为。

【发明内容】：本发明目的是解决现有机器学习模型退化比较严重的问题，提出一种实时在线学习的网络恶意行为检测方法。该方法根据用户的实时行为，实时吸收新发现的知识、完善用户行为知识库，实时更新检测模型，并在用户可接受的错误概率内，对网络恶意行为进行检测。

本发明的技术方案

实时在线学习的网络恶意行为检测方法，包括：

第1步、本发明涉及的一些基本概念：

(1)网络恶意行为：本发明中的网络恶意行为是指，以数据包为载体的，在未明确提示用户或未经用户许可的情况下，通过网络对用户计算机或其他终端进行的、侵犯用户合法权益的恶意行为。

(2)不一致性函数：描述一个样本与一组样本的不一致性，输入是一组样本和一个测试样本，输出是一个数值，也叫做不一致性得分。不同样本与同一组样本的不一致性得分之间可以比较，得分越高，说明样本与该组样本越不一致，得分越低，说明样本与该组样本越一致。

(3)统计量p-value：描述一个样本的不一致性得分在一组样本中的百分位，取值范围在0到1之间，从统计的角度刻画一个样本与一组样本的相似性。

第2步、网络行为特征的提取

第2.1、确定网络行为的表示粒度，其中包括：数据包级粒度，每个数据包表示一个网络行为；NetFlow级粒度，一个网络连接过程的所有网络数据表示一个网络行为；应用级粒度，一个应用过程的所有数据包表示一个网络行为。

第2.2、提取网络行为的特征点f。根据不同的数据集，可以选择不同的网络行为特征点f，例如，与时间相关的有时间戳、持续时间、间隔时间、周期和频率等，与体积相关的有发送数据包数、接收数据包数、发送字节数、接收字节数和数据熵等；与协议相关的有TCP、UDP、HTTP、DNS和SSH等；与拓扑结构相关的有源IP地址、目的IP地址、源端口号、目的端口号、端口号的分布和端口号集合的熵等。

第2.3、选择特征点，将网络行为抽象成特征向量V。在可选网络行为特征点中，选择n个特征点组成特征向量V(f₁,f₂,...f_n)，使用选择的网络行为特征点作为网络行为的抽象表示，将二进制的网络数据映射成特征点组成的特征向量；

第2.4、用户正常行为集合的特征矩阵表示。用户正常行为集合中包含了N个行为，每个行为都使用相同结构的特征向量Vi表示，1≤i≤N，这N个特征向量组合成用户正常行为特征矩阵C。特征矩阵的每一列表示一个特征点、每一行表示一个网络行为的特征向量；

第3步、网络行为与用户正常行为一致性度量