CN113194068A - 基于卷积神经网络的恶意加密流量检测方法及装置 - Google Patents

基于卷积神经网络的恶意加密流量检测方法及装置 Download PDF

Info

Publication number
CN113194068A
CN113194068A CN202110340432.7A CN202110340432A CN113194068A CN 113194068 A CN113194068 A CN 113194068A CN 202110340432 A CN202110340432 A CN 202110340432A CN 113194068 A CN113194068 A CN 113194068A
Authority
CN
China
Prior art keywords
neural network
convolutional neural
module
characteristic
detection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110340432.7A
Other languages
English (en)
Inventor
刘叶
兰亭洋
王智民
王高杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing 6Cloud Technology Co Ltd
Beijing 6Cloud Information Technology Co Ltd
Original Assignee
Beijing 6Cloud Technology Co Ltd
Beijing 6Cloud Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing 6Cloud Technology Co Ltd, Beijing 6Cloud Information Technology Co Ltd filed Critical Beijing 6Cloud Technology Co Ltd
Priority to CN202110340432.7A priority Critical patent/CN113194068A/zh
Publication of CN113194068A publication Critical patent/CN113194068A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/241—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches
    • G06F18/2415—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches based on parametric or probabilistic models, e.g. based on likelihood ratio or false acceptance rate versus a false rejection rate
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/047—Probabilistic or stochastic networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/048—Activation functions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Computing Systems (AREA)
  • Evolutionary Computation (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Molecular Biology (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • Computer Security & Cryptography (AREA)
  • Probability & Statistics with Applications (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例涉及网络安全技术领域，公开了一种基于卷积神经网络的恶意加密流量检测方法及装置。其中一种基于卷积神经网络的恶意加密流量检测方法，所述检测方法包括：确定检测特征；以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵；将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。本发明提供的实施方式能够提升恶意加密流量的识别效率。

Description

基于卷积神经网络的恶意加密流量检测方法及装置
技术领域
本发明涉及网络安全技术领域，具体地涉及一种基于卷积神经网络的恶意加密流量检测方法、一种基于卷积神经网络的恶意加密流量检测装置以及一种电子设备。
背景技术
为了保证数据更安全的在网络中进行传输，越来越多的网络流量开始使用HTTPS进行加密，然而恶意软件也会利用加密技术进行恶意活动，在现网的加密流量中检测出恶意加密流量信息具有重大的理论和现实意义。
由于在现实场景网络中的加密数据数据量很大，以及存在数据不稳定的因素，所以保证恶意加密流量检测的准确率和效率成为亟需要关注的问题，本文基于大量特征提取及处理工作和模型调优来提升检测的准确率，以及将模型应用在分布式平台以提升其数据处理效率。
对于恶意加密流量，其误报率和漏报率较高，准确率较低，在安全行业中，漏报和误报对后续的问题处理都有着很大的影响。并且在数据量较大的情况下，检测效率较低，使得检测有延迟。
发明内容
本发明实施例的目的是提供一种基于卷积神经网络的恶意加密流量检测方法、一种基于卷积神经网络的恶意加密流量检测装置以及一种电子设备。
为了实现上述目的，本发明第一方面提供一种基于卷积神经网络的恶意加密流量检测方法，所述检测方法包括：确定检测特征；以五元组为单位提取检测特征，将提取的检测特征规范化为二维数据矩阵；将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。
优选的，所述确定检测特征，包括：选择TLS协议过程中的特征报文；选择所述特征报文中的参数特征；所述参数特征包括加密套件特征，扩展特征，域名特征、证书特征，公钥特征、统计特征和计算特征中的至少一者。
优选的，以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵，包括：将提取的每一组检测特征为列，并进行列方向的归一化。
优选的，所述特征权重确定模块包括：长度为所述二维数据矩阵列数的第一全连接层，以及位于所述全连接层后的softmax激活函数；所述特征选择模块被配置为：将所述特征权重确定模块输出的权重和输入的二维数据矩阵的相对应的列分别相乘，得到经过特征选择后的输出；所述特征判别模块包括：数个卷积池化块、一维的池化层、激活函数、扁平层和第二全连接层；所述卷积池化块中包括卷积核大小为x的一维卷积，卷积核数量为n；所述卷积池化块的个数根据所述特征选择模块输出的数据长度设置；所述扁平层用于将所述卷积池化块的输出进行扁平化后，输入所述第二全连接层；所述激活函数模块包括sigmoid激活函数。
优选的，训练好的卷积神经网络，通过以下步骤得到：构建包括所述特征权重确定模块、特征选择模块、特征判别模块和激活函数模块的卷积神经网络；设置所述卷积神经网络的训练轮数X；将训练集输入所述卷积神经网络中进行训练，将预测错误的数据进行保存，并用验证集验证所述卷积神经网络的检测准确性；将预测错误的数据加在所述训练集上，重新进行训练，并在训练之后用验证集验证检测准确性；重复上述过程，直到训练轮数达到所述训练轮数X；采用所述训练轮数中检测准确性最高的卷积神经网络，作为所述训练好的卷积神经网络。
优选的，所述训练集中的训练样本采用以下步骤进行样本增广：确定一个训练样本Xi以及与所述训练样本Xi具有近邻关系的K个训练样本；从所述K个训练样本随机选择一个训练样本Xi(nn)，并同时生成一个0到1之间的随机数
Figure BDA0002999347570000031
合成一个新样本
Figure BDA0002999347570000032
重复从所述K个训练样本随机选择一个训练样本Xi(nn)，并同时生成一个0到1之间的随机数
Figure BDA0002999347570000033
成一个新样本
Figure BDA0002999347570000034
的步骤，每次得到一个新样本。
优选的，所述检测方法还包括：采用贝叶斯优化对所述训练好的卷积神经网络中的参数进行优化。
在本发明的第二方面，还提供了一种基于卷积神经网络的恶意加密流量检测装置，所述检测装置包括：特征确定模块，用于确定检测特征；矩阵构建模块，用于以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵；检测模型模块，用于将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；以及结果确定模块，用于根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。
在本发明的第三方面，还提供了一种电子设备，包括：至少一个处理器；存储器，与所述至少一个处理器连接；其中，所述存储器存储有能被所述至少一个处理器执行的指令，所述至少一个处理器通过执行所述存储器存储的指令实现前述的基于卷积神经网络的恶意加密流量检测方法。
优选的，所述电子设备为防火墙或服务器。
本发明第四方面提供一种机器可读存储介质，该机器可读存储介质上存储有指令，该指令在被处理器执行时使得处理器被配置成执行上述的基于卷积神经网络的恶意加密流量检测方法。
本发明第五方面提供一种计算机程序产品，包括计算机程序，该计算机程序在被处理器执行时实现上述的基于卷积神经网络的恶意加密流量检测方法。
上述技术方案提供的方法和装置，具有以下有益效果：
半监督、数据插值等使得数据更加丰富，模型优化使得结果更加准确。以及神经网络自动选择特征并使用卷积进行计算，在有效减少参数个数的同时还可提高准确率，使得能够快速准确的得出结果。
本发明实施例的其它特征和优点将在随后的具体实施方式部分予以详细说明。
附图说明
附图是用来提供对本发明实施例的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明实施例，但并不构成对本发明实施例的限制。在附图中：
图1示意性示出了根据本发明实施例的基于卷积神经网络的恶意加密流量检测方法的流程示意图；
图2示意性示出了根据本发明实施例的基于卷积神经网络的恶意加密流量检测装置的结构示意图。
具体实施方式
以下结合附图对本发明实施例的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明实施例，并不用于限制本发明实施例。
图1示意性示出了根据本发明实施例的基于卷积神经网络的恶意加密流量检测方法的流程示意图，如图1所示，一种基于卷积神经网络的恶意加密流量检测方法，所述检测方法包括：
S01，确定检测特征；
在加密通信中，通信双方通过TLS协议来协商双方加密的算法与密钥，从而为后续传输的信息进行加密，在正式进行加密信息传输之前，这个协商过程是明文传输的，所以尽可能的利用协商过程中的信息来进行特征的提取，是本方法对恶意加密流量的检测的基础。在本方法中首先基于TLS协议过程进行特征的提取，整个过程大概分为：ClientHello、ServerHello、ClientKeyExchange、ChangeCipherSpec、ApplicationData。提取的特征主要分为几个大类，ClientHello中的加密套件相关特征，扩展特征，域名特征，ClientKeyExchange中的证书特征，公钥特征以及其它的统计和计算特征
S02，以五元组为单位提取检测特征，将提取的检测特征规范化为二维数据矩阵；
一般进行上述特征处理的时候首先以五元组(源IP，目的IP，源端口，目的端口，协议)为单位提取出上述特征，然后以四元组(源IP，目的IP，目的端口，协议)对数据进行聚合，聚合即求平均，然后将聚合后的数据输入到机器学习模型中。由于特征数较多，通常会在训练前进行特征选择。本文提出一种CNN网络结构自动学习上述特征的重要性，且不单纯的以平均的形式聚合上述五元组，而让网络自动去学习五元组之间的关系，从而最后输出结果。
S03，将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；
卷积神经网络包括若干卷积层、池化层、全连接层以及激活函数。通过设置对应的功能层以实现模块所对应的功能。其中特征权重确定模块用于输出检测特征维度上的权值；特征选择模块用于对检测特征进行筛选，特征判别模块用于识别出与训练样本具有相似性的输入数据，激活函数模块用于对检测结果进行处理后输出。
S04，根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。本实施方式选择合适的激活函数，能够输出检测结果，该激活函数根据实际场景确定。
通过以上实施方式，该卷积神经网络将进行自动特征选择之后的数据输入进CNN层，每一层的CNN在列方向上都进行了卷积和池化，其作用为将列方向的数据按一定的权值进行信息融合，在最后输出融合了所有五元组信息的向量，将这五元组的信息进行展开，输入进dense层，计算每一个变量的重要性，最终通过sigmoid输出二分类中相关的概率值。本实施方式能够从数据包的大量特征中检测出具有标识性的数据特征，从而实现对恶意加密流量的识别。
在本发明提供的一种实施方式中，所述确定检测特征，包括：选择TLS协议过程中的特征报文；选择所述特征报文中的参数特征；所述参数特征包括加密套件特征，扩展特征，域名特征、证书特征，公钥特征、统计特征和计算特征中的至少一者。具体的，在本方法中首先基于TLS协议过程进行特征的提取，整个过程大概分为：ClientHello、ServerHello、ClientKeyExchange、ChangeCipherSpec、ApplicationData。提取的特征主要分为几个大类，ClientHello中的加密套件相关特征，扩展特征，域名特征，ClientKeyExchange中的证书特征，公钥特征以及其它的统计和计算特征。具体特征如下：
Figure BDA0002999347570000061
Figure BDA0002999347570000071
在本发明提供的一种实施方式中，以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵，包括：将提取的每一组检测特征为列，并进行列方向的归一化。现网流量下抓取包含正常和恶意信息的pcap数据包，从数据包中提取上述所述相关特征，构造训练集和测试集。一般进行上述特征处理的时候首先以五元组(源IP，目的IP，源端口，目的端口，协议)为单位提取出上述特征，然后以四元组(源IP，目的IP，目的端口，协议)对数据进行聚合，聚合即求平均，然后将聚合后的数据输入到机器学习模型中。由于特征数较多，通常会在训练前进行特征选择。本文提出一种CNN网络结构自动学习上述特征的重要性，且不单纯的以平均的形式聚合上述五元组，而让网络自动去学习五元组之间的关系，从而最后输出结果。首先针对每一个四元组，收集其相关的五元组流若干条，以五元组为单位提取其上述相关特征，将五元组按顺序进行排列，构造一个二维数据矩阵，对数据进行列方向的归一化。
在本发明提供的一种实施方式中，所述特征权重确定模块包括：长度为所述二维数据矩阵列数的第一全连接层，以及位于所述全连接层后的softmax激活函数；所述特征选择模块被配置为：将所述特征权重确定模块输出的权重和输入的二维数据矩阵的相对应的列分别相乘，得到经过特征选择后的输出；所述特征判别模块包括：数个卷积池化块、一维的池化层、激活函数、扁平层和第二全连接层；所述卷积池化块中包括卷积核大小为x的一维卷积，卷积核数量为n；所述卷积池化块的个数根据所述特征选择模块输出的数据长度设置；所述扁平层用于将所述卷积池化块的输出进行扁平化后，输入所述第二全连接层；所述激活函数模块包括sigmoid激活函数。包含以上模块的训练好的卷积神经网络对应地对输入数据做如下处理：
将数据输入到网络中，数据首先经过一个长度为数据维度长度大小的dense层，然后通过softmax激活函数，将其输出作为输入数据特征维度上的权值。将上述输出和输入数据的相对应的列分别相乘，得到经过一定特征选择后的输出，然后将其输出经过数个卷积池化块(block),block中包括卷积核大小为x的一维卷积，卷积核数量为n，然后经过一维的池化层和激活函数，其输出作为一个block块的输出，根据数据长度的大小设置相应的block块的个数。将最后block块的输出进行扁平化(flatten)，然后输入进dense层，经过sigmoid激活函数，获取最后的输出，输出为是正常还是恶意流量的概率。
在本发明提供的一种实施方式中，训练好的卷积神经网络，通过以下步骤得到：构建包括所述特征权重确定模块、特征选择模块、特征判别模块和激活函数模块的卷积神经网络；设置所述卷积神经网络的训练轮数X；将训练集输入所述卷积神经网络中进行训练，将预测错误的数据进行保存，并用验证集验证所述卷积神经网络的检测准确性；将预测错误的数据加在所述训练集上，重新进行训练，并在训练之后用验证集验证检测准确性；重复上述过程，直到训练轮数达到所述训练轮数X；采用所述训练轮数中检测准确性最高的卷积神经网络，作为所述训练好的卷积神经网络。采用本实施方式中的步骤得到训练好的卷积神经网络，具有训练效果好的优点。
在本发明提供的一种实施方式中，因为现网流量中提取出的恶意和正常的数据大小非常不平衡，所述训练集中的训练样本采用以下步骤进行样本增广：进行模型训练之前，对恶意样本数据进行了过采样，过采样的方法选用了smote插值法。设训练集的一个少数类的样本数为T，那么SMOTE算法将为这个少数类合成NT个新样本。这里要求N必须是正整数，如果给定的N<1那么算法将“认为”少数类的样本数T＝NT，并将强制N＝1。考虑该少数类的一个样本i，其特征向量为xi,i∈{1,...,T}。首先从该少数类的全部T个样本中找到样本xi的k个近邻(例如用欧氏距离)，记为xi(near),near∈{1,...,T}。然后从这k个近邻中随机选择一个样本xi(nn)，再生成一个0到1之间的随机数
Figure BDA0002999347570000091
从而合成一个新样本
Figure BDA0002999347570000092
将前一步骤重复进行N次，从而可以合成N个新样本：xinew,new∈1,...,N，那么对全部的T个少数类样本进行上述操作，便可为该少数类合成NT个新样本。
在本发明提供的一种实施方式中，所述检测方法还包括：采用贝叶斯优化对所述训练好的卷积神经网络中的参数进行优化。具体的，本文采用贝叶斯优化对模型进行优化，其基本思想为：基于数据使用贝叶斯定理估计目标函数的后验分布，然后再根据分布选择下一个采样的超参数组合。它充分利用了前一个采样点的信息，其优化的工作方式是通过对目标函数形状的学习，并找到使结果向全局最大提升的参数。具体优化原理过程如下：
1、假设超参数与优化的损失函数之间存在函数关系，则需要在超参数组合内找到目标函数的最优解：
Figure BDA0002999347570000101
其中：x表示待优化的参数；X表示待优化的参数集合；f(x)表示目标函数。
2、选择一个先验函数表示被优化函数的分布假设，这里选用高斯过程来作为其分布函数，构建一个采集函数用于从模型后验分布中确定下一个需要评估的点，可供选择的采集函数有POI(probability of improvement)、EI(Expected Improvement)、UCB等，这里选用POI函数作为其采集函数，其公式为：
Figure BDA0002999347570000102
其中：f(X)为X的目标函数值,f(X+)为到目前未知最优的X的目标函数值，μ(x)，σ(x)分别是高斯过程中所得到的目标函数的均值和方差，ξ为trade-off系数。
3、首先初始化x,f(x)，构造并获取数据集D:
D＝(x1,f(x1)),(x2,f(x2)),...,(xn,f(xn))
4、根据最大化采集函数来选择下一个最有“潜力”的评估点xt：
xt＝argmaxx∈XPOI(x|Dt-1)
5、根据选择的评估点xt评估目标函数值f(xt)，把新得到的输入观测值对(xt,f(xt))添加到历史观测集D中,更新概率代理模型即高斯函数，为下一次迭代做准备，提前预设好迭代次数N，当迭代次数达到N时，停止迭代，具体流程如图一所示。在模型中优化的参数为：learning rate、batch size等。根据优化器最终的优化结果，确定模型的参数，从而构造并训练模型。
图2示意性示出了根据本发明实施例的基于卷积神经网络的恶意加密流量检测装置的结构示意图，如图2所示。一种基于卷积神经网络的恶意加密流量检测装置，所述检测装置包括：特征确定模块，用于确定检测特征；矩阵构建模块，用于以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵；检测模型模块，用于将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；以及结果确定模块，用于根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。
上述的基于卷积神经网络的恶意加密流量检测装置中的各个功能模块的具体限定可以参见上文中对于基于卷积神经网络的恶意加密流量检测方法的限定，在此不再赘述。上述装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
在本发明提供的一种实施方式中，还提供了一种电子设备，包括：至少一个处理器；存储器，与所述至少一个处理器连接；其中，所述存储器存储有能被所述至少一个处理器执行的指令，所述至少一个处理器通过执行所述存储器存储的指令实现前述的基于卷积神经网络的恶意加密流量检测方法。此处的控制模块或处理器具有数值计算和逻辑运算的功能，其至少具有数据处理能力的中央处理器CPU、随机存储器RAM、只读存储器ROM、多种I/O口和中断系统等。处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来实现前述的方法。存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。
在本发明提供的一种实施方式中，所述电子设备为防火墙或服务器。前述的基于卷积神经网络的恶意加密流量检测方法作为应用程序或系统的一部分运行于防火墙或服务器中。当防火墙或服务器中运行有前述的基于卷积神经网络的恶意加密流量检测方法时，能够对输入或者经过该设备的加密流量进行快速识别，为拦截或过滤恶意加密流量提供基础。适合在对性能要求比较高的应用场合，以及分布式平台中。
在本发明提供的一种实施方式中，提供了一种机器可读存储介质，该机器可读存储介质上存储有指令，该指令在被处理器执行时使得处理器被配置成执行上述的基于卷积神经网络的恶意加密流量检测方法。
在本发明提供的一种实施方式中，提供了一种计算机程序产品，包括计算机程序，该计算机程序在被处理器执行时实现上述的基于卷积神经网络的恶意加密流量检测方法。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。
以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种基于卷积神经网络的恶意加密流量检测方法，其特征在于，所述检测方法包括：
确定检测特征；
以五元组为单位提取检测特征，将提取的检测特征规范化为二维数据矩阵；
将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；
根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。
2.根据权利要求1所述的检测方法，其特征在于，所述确定检测特征，包括：
选择TLS协议过程中的特征报文；
选择所述特征报文中的参数特征；
所述参数特征包括加密套件特征、扩展特征、域名特征、证书特征、公钥特征、统计特征和计算特征中的至少一者。
3.根据权利要求1所述的检测方法，其特征在于，以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵，包括：
将提取的每一组检测特征为列，并进行列方向的归一化。
4.根据权利要求3所述的检测方法，其特征在于，
所述特征权重确定模块包括：长度为所述二维数据矩阵列数的第一全连接层，以及位于所述全连接层后的softmax激活函数；
所述特征选择模块被配置为：将所述特征权重确定模块输出的权重和输入的二维数据矩阵的相对应的列分别相乘，得到经过特征选择后的输出；
所述特征判别模块包括：数个卷积池化块、一维的池化层、激活函数、扁平层和第二全连接层；所述卷积池化块中包括卷积核大小为x的一维卷积，卷积核数量为n；所述卷积池化块的个数根据所述特征选择模块输出的数据长度设置；所述扁平层用于将所述卷积池化块的输出进行扁平化后，输入所述第二全连接层；
所述激活函数模块包括sigmoid激活函数。
5.根据权利要求1所述的检测方法，其特征在于，训练好的卷积神经网络，通过以下步骤得到：
构建包括所述特征权重确定模块、特征选择模块、特征判别模块和激活函数模块的卷积神经网络；
设置所述卷积神经网络的训练轮数X；
将训练集输入所述卷积神经网络中进行训练，将预测错误的数据进行保存，并用验证集验证所述卷积神经网络的检测准确性；
将预测错误的数据加在所述训练集上，重新进行训练，并在训练之后用验证集验证检测准确性；
重复上述过程，直到训练轮数达到所述训练轮数X；
采用所述训练轮数中检测准确性最高的卷积神经网络，作为所述训练好的卷积神经网络。
6.根据权利要求5所述的检测方法，其特征在于，所述训练集中的训练样本采用以下步骤进行样本增广：
确定一个训练样本Xi以及与所述训练样本Xi具有近邻关系的K个训练样本；
从所述K个训练样本随机选择一个训练样本Xi(nn)，并同时生成一个0到1之间的随机数
Figure FDA0002999347560000031
合成一个新样本
Figure FDA0002999347560000032
重复从所述K个训练样本随机选择一个训练样本Xi(nn)，并同时生成一个0到1之间的随机数
Figure FDA0002999347560000033
合成一个新样本
Figure FDA0002999347560000034
的步骤，每次得到一个新样本。
7.根据权利要求5所述的检测方法，其特征在于，所述检测方法还包括：采用贝叶斯优化对所述训练好的卷积神经网络中的参数进行优化。
8.一种基于卷积神经网络的恶意加密流量检测装置，其特征在于，所述检测装置包括：
特征确定模块，用于确定检测特征；
矩阵构建模块，用于以五元组为单位提取检测特征，将提取的检测特征规范化为二维数据矩阵；
检测模型模块，用于将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；以及
结果确定模块，用于根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。
9.一种电子设备，其特征在于，包括：至少一个处理器；
存储器，与所述至少一个处理器连接；
其中，所述存储器存储有能被所述至少一个处理器执行的指令，所述至少一个处理器通过执行所述存储器存储的指令实现权利要求1至7中任意一项权利要求所述的基于卷积神经网络的恶意加密流量检测方法。
10.根据权利要求9所述的电子设备，其特征在于，所述电子设备为防火墙或服务器。
CN202110340432.7A 2021-03-30 2021-03-30 基于卷积神经网络的恶意加密流量检测方法及装置 Pending CN113194068A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110340432.7A CN113194068A (zh) 2021-03-30 2021-03-30 基于卷积神经网络的恶意加密流量检测方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110340432.7A CN113194068A (zh) 2021-03-30 2021-03-30 基于卷积神经网络的恶意加密流量检测方法及装置

Publications (1)

Publication Number Publication Date
CN113194068A true CN113194068A (zh) 2021-07-30

Family

ID=76974621

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110340432.7A Pending CN113194068A (zh) 2021-03-30 2021-03-30 基于卷积神经网络的恶意加密流量检测方法及装置

Country Status (1)

Country Link
CN (1) CN113194068A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113872939A (zh) * 2021-08-30 2021-12-31 济南浪潮数据技术有限公司 一种流量检测方法、装置及存储介质
CN113992349A (zh) * 2021-09-23 2022-01-28 云南财经大学 恶意流量识别方法、装置、设备和存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110796196A (zh) * 2019-10-30 2020-02-14 中国科学院信息工程研究所 一种基于深度判别特征的网络流量分类系统及方法
CN111147396A (zh) * 2019-12-26 2020-05-12 哈尔滨工程大学 一种基于序列特征的加密流量分类方法
CN111277587A (zh) * 2020-01-19 2020-06-12 武汉思普崚技术有限公司 基于行为分析的恶意加密流量检测方法及系统
CN112003870A (zh) * 2020-08-28 2020-11-27 国家计算机网络与信息安全管理中心 一种基于深度学习的网络加密流量识别方法及装置
CN112235257A (zh) * 2020-09-24 2021-01-15 中国人民解放军战略支援部队信息工程大学 融合式加密恶意流量检测方法及系统
US20210044572A1 (en) * 2019-08-06 2021-02-11 At&T Intellectual Property I, L.P. Classification of encrypted internet traffic

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210044572A1 (en) * 2019-08-06 2021-02-11 At&T Intellectual Property I, L.P. Classification of encrypted internet traffic
CN110796196A (zh) * 2019-10-30 2020-02-14 中国科学院信息工程研究所 一种基于深度判别特征的网络流量分类系统及方法
CN111147396A (zh) * 2019-12-26 2020-05-12 哈尔滨工程大学 一种基于序列特征的加密流量分类方法
CN111277587A (zh) * 2020-01-19 2020-06-12 武汉思普崚技术有限公司 基于行为分析的恶意加密流量检测方法及系统
CN112003870A (zh) * 2020-08-28 2020-11-27 国家计算机网络与信息安全管理中心 一种基于深度学习的网络加密流量识别方法及装置
CN112235257A (zh) * 2020-09-24 2021-01-15 中国人民解放军战略支援部队信息工程大学 融合式加密恶意流量检测方法及系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
程光: "《互联网大数据挖掘与分类》", 31 December 2015 *
邱锡鹏: "《神经网络与深度学习》", 31 July 2020 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113872939A (zh) * 2021-08-30 2021-12-31 济南浪潮数据技术有限公司 一种流量检测方法、装置及存储介质
CN113992349A (zh) * 2021-09-23 2022-01-28 云南财经大学 恶意流量识别方法、装置、设备和存储介质
CN113992349B (zh) * 2021-09-23 2023-05-19 云南财经大学 恶意流量识别方法、装置、设备和存储介质

Similar Documents

Publication Publication Date Title
Bendiab et al. IoT malware network traffic classification using visual representation and deep learning
Mehta et al. Next-Generation Wheat Disease Monitoring: Leveraging Federated Convolutional Neural Networks for Severity Estimation
CN112003870A (zh) 一种基于深度学习的网络加密流量识别方法及装置
CN111447190A (zh) 一种加密恶意流量的识别方法、设备及装置
CN113194068A (zh) 基于卷积神经网络的恶意加密流量检测方法及装置
CN111526099B (zh) 基于深度学习的物联网应用流量检测方法
Zhao et al. A semi-self-taught network intrusion detection system
CN113992349B (zh) 恶意流量识别方法、装置、设备和存储介质
WO2022007827A1 (zh) 一种视频检索方法、装置、设备及存储介质
CN111586071A (zh) 一种基于循环神经网络模型的加密攻击检测方法及装置
US20210263979A1 (en) Method, system and device for identifying crawler data
WO2021169239A1 (zh) 一种爬虫数据的识别方法、系统及设备
CN111935185B (zh) 基于云计算构建大规模诱捕场景的方法及系统
CN112541525A (zh) 一种点云数据处理方法和装置
CN117034180B (zh) 电力通信设备数据异常检测方法、系统及存储介质
CN111291867A (zh) 数据预测模型生成方法、装置及数据预测方法、装置
CN113343587A (zh) 用于电力工控网络的流量异常检测方法
CN112839055B (zh) 面向tls加密流量的网络应用识别方法、装置及电子设备
CN112910890B (zh) 基于时间卷积网络的匿名网络流量指纹识别方法及设备
CN116962093A (zh) 基于云计算的信息传输安全性监测方法及系统
CN116723157A (zh) 终端行为检测模型构建方法、装置、设备和存储介质
CN115484112B (zh) 支付大数据安全防护方法、系统及云平台
Thomas et al. Comparative analysis of dimensionality reduction techniques on datasets for zero-day attack vulnerability
KR20220103375A (ko) 그래디언트를 활용한 커버리지 기반의 모델 검증 방법 및 그를 위한 장치
CN114581086A (zh) 基于动态时序网络的钓鱼账户检测方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20210730

RJ01 Rejection of invention patent application after publication