CN113469366A - 一种加密流量的识别方法、装置及设备 - Google Patents

一种加密流量的识别方法、装置及设备 Download PDF

Info

Publication number
CN113469366A
CN113469366A CN202010243626.0A CN202010243626A CN113469366A CN 113469366 A CN113469366 A CN 113469366A CN 202010243626 A CN202010243626 A CN 202010243626A CN 113469366 A CN113469366 A CN 113469366A
Authority
CN
China
Prior art keywords
training
model
primary
flow
traffic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010243626.0A
Other languages
English (en)
Inventor
于海东
刘军
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Guancheng Technology Co ltd
Original Assignee
Beijing Guancheng Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Guancheng Technology Co ltd filed Critical Beijing Guancheng Technology Co ltd
Priority to CN202010243626.0A priority Critical patent/CN113469366A/zh
Publication of CN113469366A publication Critical patent/CN113469366A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G06N20/10—Machine learning using kernel methods, e.g. support vector machines [SVM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • Artificial Intelligence (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种加密流量的识别方法、装置及设备，使用AI模型对加密流量进行识别，所述AI模型的训练过程包括以下步骤：S100、建立多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述初级AI训练模型进行训练；S200、使用多模型融合的集合算法将所述初级AI训练模型进行融合；S300、基于S200的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；S400、当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。该发明通过使用多维度、多模型的方法实现了对加密流量进行检测，很好的解决了依赖单一AI模型所导致的误报率高、可解释性差的问题。

Description

一种加密流量的识别方法、装置及设备
技术领域
本申请涉及恶意流量分析技术领域，更具体的说，是涉及一种加密流量的识别方法、装置及设备。
背景技术
随着互联网的高速发展和加密技术的广泛应用，加密流量所占的比重不断提升。相关机构预测，会有超过80％的企业网络流量将被加密，然而绝大多数网络设备对网络攻击、恶意软件等加密流量却无能为力。当攻击者利用SSL加密通道完成恶意软件载荷和漏洞利用的投递和分发，以及受感染主机与命令和控制(C&C)服务器之间的通信，现有的检测手段却无法识别，针对恶意加密流量的检测技术尚属稀缺，原因主要如下：
一方面、恶意流量网络流之间也存在着行为上的特征，这些特征因为检测装置设计结构的原因没有被提取出来，传统的基于规则的检测手段无法检测加密流量，从加密流量中提取出经过加密的恶意流量；
另一方面、现网中的流量非常复杂，通过单一的AI模型进行检测，误报率高且可解释性差。
因为AI可以大幅度提高识别准确度和识别的效率，从而使使用AI方法进行恶意网络流量识别，成为了近些年来比较热门的研究课题，然而，网络中的流量复杂多样，不同数据格式类型的网络流量往往具有不同的特征，建立AI模型需要进行大量的训练过程。因此，如何为纷繁复杂的网络环境建立行之有效的AI模型，进而为后续的AI判断打下基础是需要亟需解决的问题。
发明内容
鉴于上述问题，提出了本申请以便提供一种克服上述问题或者至少部分地解决上述问题的加密流量的识别方法、装置及设备。具体方案如下：
一种加密流量的识别的方法，使用AI模型对加密流量进行识别，所述AI模型的训练过程包括以下步骤：
S100、建立多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述初级AI训练模型进行训练；
S200、使用多模型融合的集合算法将所述初级AI训练模型进行融合；
S300、基于S200的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；
S400、当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
进一步地，所述集合算法包括基于Stacking的多模型融合算法，其中初级AI训练模型的数量为m个，每个初级AI训练模型的训练集数据平均分为X份，每个测试集数据为Y行；经过所述Stacking的算法的融合各初级AI训练模型的训练集子矩阵和测试集子矩阵，最终形成X列m行的训练集矩阵，和Y行m列的测试集矩阵。
进一步地，在所述Stacking的算法的融合过程中，在对每个初级AI训练模型的测试集数据处理时，采用将该初级AI训练模型在进行X次训练时，将每次得到的测试集数据训练结果相加并取平均值，来得到一个Y行1列的测试集子矩阵，以代表该初级AI训练模型的测试集子矩阵。
进一步地，所述监督学习算法包括逻辑回归LR、和/或支持向量机SVM，对训练集矩阵和测试集矩阵进行训练，得到次级AI训练模型。
进一步地，所述初级AI训练模型包括：基于流量特征所训练的模型—流模型、和/或基于SSL/TLS协议在握手协商阶段的特征所训练的模型—握手模型、和/或基于SSL/TLS协议X.509证书特征所训练的模型—证书模型、和/或基于与加密流量相关联的DNS特征所训练的模型—DNS模型、和/或基于与加密流量相关联的HTTP特征所训练的模型—背景流量模型。
进一步地，所述数据流为使用SSL/TLS进行通信的网络数据流，在步骤S100之前还包括数据流预检测过程，当所述数据流预检测过程判断该数据流为正常流量或恶意流量后，则直接返回判断结果，否则通过所述加密流量的识别的方法的AI训练模型进行判断。
进一步地，所述数据流预检测过程包括如下步骤：
S001、从流量中提取目的IP及关联DNS，分别与IP黑名单、和/或DNS黑名单、和/或IP白名单、和/或DNS白名单进行匹配，IP或者DNS命中黑名单的则为恶意加密流量，IP和DNS均命中白名单的为正常加密流量；
S002、将SSL/TLS协议在握手协商的过程中产生的ClientHello消息中的部分消息数值串联后，通过Hash函数得到一个具体的值，该具体值为TLS指纹，将恶意流量的TLS指纹收集后形成TLS指纹黑名单，当流量中的ClientHello所产生的TLS指纹命中黑名单中的TLS指纹，则判定该数据流为恶意加密流量；
S003、将SSL/TLS协议在握手协商的过程中，服务器端返回的X.509证书通过Hash函数计算后得到的一个值，该值为证书指纹，整理知名站点的证书所生成的证书指纹，形成证书指纹白名单；整理恶意程序所使用的证书所生成的证书指纹，形成证书指纹黑名单：当流量中的证书指纹命中所述证书指纹白名单，则判定该数据流为正常加密流量；当流量中的证书指纹命中所述证书指纹黑名单，则判定该数据流为恶意加密流量。
一种加密流量的识别装置，包括：
初级AI训练模块：包括多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述AI训练初级模型进行训练；
融合模块：使用集合算法将所述AI训练初级模型进行融合；
次级AI训练模块：基于融合模块的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；
判定模块：当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
一种计算机存储介质，所述计算机存储介质存储有计算机可执行指令，所述计算机可执行指令用于执行上述任意一项所述的加密流量的识别的方法。
一种电子设备，包括：
至少一个处理器；以及，
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述任意一项所述的加密流量的识别的方法。
借由上述技术方案，本申请公开了一种加密恶意流量的识别方法、装置及设备。本方案使用多模型融合的集合算法将多种AI训练模型进行融合，实现了对加密流量建立多模型的目的，使得不同的特征进入不同的模型进行检测。一方面，充分利用了各种不同AI模型的优势，为同时对加密流量的不同特征进行AI判断打下了基础，由于融合了多种AI模型，因此解决了单一模型进行流量判断时，误报率高且可解释性差的问题。另一方面，通过监督学习算法对融合算法得到的测试集和训练集进行不断修正，使其预测精度能够不断迭代提高，预测的结果越来越准确。并且，本方法还对加密流量从多个维度进行多重检测，并在进行AI判断前可以最大限度进行预处理，减轻AI判断的运算压力，提高了检测的效率。
上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够更明显易懂，以下特举本申请的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本申请的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1为本申请实施例提供的一种加密流量的识别方法的AI模型的训练流程示意图；
图2为本申请实施例提供的一种加密流量的识别方法的AI模型的训练过程示意图；
图3为本申请实施例提供的一种加密流量的识别方法的握手模型集合算法训练过程示意图；
图4为本申请实施例提供的一种加密流量的识别方法的次级训练过程示意图；
图5为本申请实施例提供的一种加密流量的识别方法的包括数据预检测过程的整体技术示意图；
图6为本申请实施例提供的一种加密流量的识别方法的数据预检测过程的流程示意图；
图7为本申请实施例提供的一种加密流量的识别装置的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
下面对本申请实施例提供的具体实现方案进行详细介绍。
实施例1
请参阅附图1，图1为本申请实施例提供的一种加密流量的识别的方法，使用AI模型对加密流量进行识别，所述AI模型的训练过程包括以下步骤：
S100、建立多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述初级AI训练模型进行训练；
S200、使用多模型融合的集合算法将所述初级AI训练模型进行融合；
S300、基于S200的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；
S400、当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
本方案使用多模型融合的集合算法将多种AI训练模型进行融合，实现了对加密流量建立多模型的目的，使得不同的特征进入不同的模型进行检测。
在目前已经使用的AI模型来对流量进行识别的方案中，比较常用的训练模型包括：包括：基于流量特征所训练的模型—流模型、和/或基于SSL/TLS协议在握手协商阶段的特征所训练的模型—握手模型、和/或基于SSL/TLS协议X.509证书特征所训练的模型—证书模型、和/或基于与加密流量相关联的DNS特征所训练的模型—DNS模型、和/或基于与加密流量相关联的HTTP特征所训练的模型—背景流量模型。
这些模型为本方案第一阶段——初级AI训练的模型。下面具体解释这5个模型：
1)流模型：是指基于流量特征所训练的AI模型。在模型中会用到与流量相关的一些特征，如：Client到Server的时长、Server到Client的流时长、Client到Server的包长度最大值、Client到Server的包长度最小值、Client到Server的包长度均值、Client到Server的包长度标准差等；
2)握手模型：是指基于SSL/TLS协议在握手协商阶段的特征所训练的模型。在模型中会用到与握手相关的一些特征，如：支持的加密套件个数、支持的加密套件列表、服务器端选择的加密套件、支持的TLS扩展个数等；
3)证书模型：是指基于SSL/TLS协议X.509证书特征所训练的模型。在模型中会用到与证书相关的一些特征，如：签名算法、签名算法长度、证书扩展个数、证书开始时间、证书结束时间、证书有效期天数等；
4)DNS模型：是指基于与加密流量相关联的DNS特征所训练的模型。在模型中会用到与DNS相关的一些特征，如：域名长度、域名数字个数、域名特殊字符个数、域名后缀长度等；
5)背景流量模型：是指基于与加密流量相关联的HTTP特征所训练的模型。在模型中会用到与HTTP相关的一些特征，如：HOST、User-Agent、Accept、Referer、Accept-Encoding、Accept-Language、URI等。
本实施例的集合算法使用基于Stacking的多模型融合算法，其中初级AI训练模型的数量为m个，每个初级AI训练模型的训练集数据平均分为X份，每个测试集数据为Y行；经过所述Stacking的算法的融合各初级AI训练模型的训练集子矩阵和测试集子矩阵，最终形成X列m行的训练集矩阵，和Y行m列的测试集矩阵。
本实施例以握手模型的处理过程为例，如图3所示，将训练数据分为5行(将训练数据平均分5份，分别为训练数据和验证数据)，测试数据1行。在完成对握手模型的整个步骤之后，我们将他们拼凑起来，形成一个5行1列的矩阵，记为A1。而对于b1,b2,b3,b4,b5这部分数据，我们将各部分相加取平均值，得到一个1行一列的矩阵，记为B1。
接下来对包括证书模型、DNS模型、流模型、背景流量模型在内的共5个模型重复以上的步骤，结束之后，我们可以得到如图4所示的，新的A2,A3,A4,A5,B2,B3,B4,B5。将A1,A2,A3,A4,A5并列合并得到一个5行5列的矩阵作为训练集，B1,B2,B3,B4,B5并列合并得到一个1行5列的矩阵作为测试集。在完成上述的多个AI模型的融合之后，进入到第二阶段的训练也就是次级AI训练。
第二阶段的训练——次级AI训练：
如图2所示，本实施例中的训练过程包括两个阶段，分别使用了初级分类器和次级分类器。初级分类器即上述第一阶段中的各个初级AI训练的模型，次级分类器是将第一阶段的训练结果融合后进行的第二次训练过程，也就是次级AI训练。
具体来说，在上述的例子中，本阶段将第一阶段的A1,A2,A3,A4,A5并列合并得到一个X行五列的矩阵作为训练集，B1,B2,B3,B4,B5并列合并得到一个Y行五列的矩阵作为测试集。再通过如图4所示的监督学习算法来基于该结果进行次级AI训练，并得到次级AI训练模型，从而得到了最终的训练模型，根据最终模型可以得到一个阈值，当预测结果超过阈值时，即为恶意加密流量。也就是说当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
在机器学习中，无监督学习(Unsupervised learning)就是聚类，事先不知道样本的类别，通过某种办法，把相似的样本放在一起归位一类；而监督型学习(Supervisedlearning)就是有训练样本，带有属性标签，也可以理解成样本有输入有输出。
在本实施例中，使用的是监督学习的算法来进行次级AI训练模型的训练。所述监督学习算法包括逻辑回归LR、和/或支持向量机SVM，对训练集矩阵和测试集矩阵进行训练，得到次级AI训练模型。LR和SVM都是监督学习算法(都需要有样本进行训练)，如果不考虑核函数，LR和SVM都是线性分类算法，都是判别模型(判别模型会生成一个表示P(y|x)的判别函数)。
在初级训练后经由多模型融合算法得到训练集和测试集的结果后，本领域的技术人员可以很直接的用这两种算法进行后续的数据处理，因此，作为公知的计算处理过程这里不再进行赘述。
使用多模型融合的集合算法将多种AI训练模型进行融合，实现了对加密流量建立多模型的目的，使得不同的特征进入不同的模型进行检测，从而充分利用了各种不同AI模型的优势，为同时对加密流量的不同特征进行AI判断打下了基础，解决了单一模型进行流量判断时，误报率高且可解释性差的问题。进一步，通过监督学习算法对融合算法得到的测试集和训练集进行不断修正，能够使其预测精度能够不断迭代提高，预测的结果越来越准确。
实施例2
如图5所示，本实施例中，对于加密流量的检测过程分四个维度：
1、一维检测：从流量中提取目的IP及关联DNS，分别与IP黑名单、和/或DNS黑名单、和/或IP白名单、和/或DNS白名单进行匹配，IP或者DNS命中黑名单的则为恶意加密流量，IP和DNS均命中白名单的为正常加密流量；
2、二维检测：SSL/TLS协议在握手协商的过程中会产生ClientHello消息，该消息中包含了如：支持的最大TLS版本、可接受的密码、扩展列表、椭圆曲线密码和椭圆曲线密码格式等。将这些值串联在一起通过Hash函数得到一个具体的值，既TLS指纹(注：不同于JA3，信息粒度要更细)。某些恶意应用程序有独特的TLS指纹，具有唯一性，将这些TLS指纹收集后形成TLS指纹黑名单。如果流量中的ClientHello所产生的TLS指纹与黑名单中的某个指纹产生碰撞，既为命中TLS指纹。这里没有TLS指纹白名单列表，因为很多恶意程序可以产生与其他正常应用相同的TLS指纹，不具有唯一性。
3、三维检测：SSL/TLS协议在握手协商的过程中，服务器端会返回X.509证书。所谓证书指纹就是对X.509证书通过Hash函数计算后得到的一个值，一般情况下，该值不会出现重复。证书指纹白名单是指一些知名站点的证书生成的指纹，如Baidu、Google等。证书指纹黑名单是指某些恶意程序所使用的证书。
4、四维检测：如果流量经过前面三个维度都没有区分是正常流量还是恶意流量，则会进入第四个维度进行检测。在四维检测中，共有5个AI模型，分别对加密流量的五个不同的维度进行预测，最终综合判断结果是否正常。
具体来说，本实施例以使用SSL/TLS进行通信的网络数据流为例，在实施例1的方法的基础上，又增加了一些前置的判断过程，也就是在步骤S100之前还包括了数据流预检测过程。当所述数据流预检测过程判断该数据流为正常流量或恶意流量后，则直接返回判断结果，否则通过所述加密流量的识别的方法的AI训练模型进行判断。
具体的如图6所示，数据流预检测过程包括如下步骤：
S001、从流量中提取目的IP及关联DNS，分别与IP黑名单、和/或DNS黑名单、和/或IP白名单、和/或DNS白名单进行匹配，IP或者DNS命中黑名单的则为恶意加密流量，IP和DNS均命中白名单的为正常加密流量；
S002、将SSL/TLS协议在握手协商的过程中产生的ClientHello消息中的部分消息数值串联后，通过Hash函数得到一个具体的值，该具体值为TLS指纹，将恶意流量的TLS指纹收集后形成TLS指纹黑名单，当流量中的ClientHello所产生的TLS指纹命中黑名单中的TLS指纹，则判定该数据流为恶意加密流量；
S003、将SSL/TLS协议在握手协商的过程中，服务器端返回的X.509证书通过Hash函数计算后得到的一个值，该值为证书指纹，整理知名站点的证书所生成的证书指纹，形成证书指纹白名单；整理恶意程序所使用的证书所生成的证书指纹，形成证书指纹黑名单：当流量中的证书指纹命中所述证书指纹白名单，则判定该数据流为正常加密流量；当流量中的证书指纹命中所述证书指纹黑名单，则判定该数据流为恶意加密流量。
可见，本实施例通过上述的三个步骤分别实现了上述的一维、二维和三维的数据检测处理，对加密流量从多个维度进行多重检测，并在进行AI判断前可以最大限度进行预处理，减轻AI判断的运算压力，提高了检测的效率。
实施例3
本实施例公开了一种加密流量的识别装置如图7所示，该加密流量的识别装置，包括：
初级AI训练模块100：包括多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述AI训练初级模型进行训练；
融合模块200：使用集合算法将所述AI训练初级模型进行融合；
次级AI训练模块300：基于融合模块的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；
判定模块400：当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
本实施例中各个模块执行的流程和方式包括实施例1和/或实施例2所公开的方式，来对加密流量的AI判断模型进行训练。在此不再赘述。
实施例4
本实施例公开了一种计算机存储介质，所述计算机存储介质存储有计算机可执行指令，所述计算机可执行指令用于执行上述任意所述的加密流量的识别的方法。
实施例5
本实施例公开了一种电子设备，包括：
至少一个处理器；以及，
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述任意所述的加密流量的识别的方法。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种加密流量的识别的方法，其特征在于，使用AI模型对加密流量进行识别，所述AI模型的训练过程包括以下步骤：
S100、建立多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述初级AI训练模型进行训练；
S200、使用多模型融合的集合算法将所述初级AI训练模型进行融合；
S300、基于S200的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；
S400、当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
2.根据权利要求1所述的方法，其特征在于，所述集合算法包括基于Stacking的多模型融合算法，其中初级AI训练模型的数量为m个，每个初级AI训练模型的训练集数据平均分为X份，每个测试集数据为Y行；经过所述Stacking的算法的融合各初级AI训练模型的训练集子矩阵和测试集子矩阵，最终形成X列m行的训练集矩阵，和Y行m列的测试集矩阵。
3.根据权利要求2所述的方法，其特征在于，在所述Stacking的算法的融合过程中，在对每个初级AI训练模型的测试集数据处理时，采用将该初级AI训练模型在进行X次训练时，将每次得到的测试集数据训练结果相加并取平均值，来得到一个Y行1列的测试集子矩阵，以代表该初级AI训练模型的测试集子矩阵。
4.根据权利要求1所述的方法，其特征在于，所述监督学习算法包括逻辑回归LR、和/或支持向量机SVM，对训练集矩阵和测试集矩阵进行训练，得到次级AI训练模型。
5.根据权利要求1所述的方法，其特征在于，所述初级AI训练模型包括：基于流量特征所训练的模型—流模型、和/或基于SSL/TLS协议在握手协商阶段的特征所训练的模型—握手模型、和/或基于SSL/TLS协议X.509证书特征所训练的模型—证书模型、和/或基于与加密流量相关联的DNS特征所训练的模型—DNS模型、和/或基于与加密流量相关联的HTTP特征所训练的模型—背景流量模型。
6.根据权利要求1所述的方法，其特征在于，所述数据流为使用SSL/TLS进行通信的网络数据流，在步骤S100之前还包括数据流预检测过程，当所述数据流预检测过程判断该数据流为正常流量或恶意流量后，则直接返回判断结果，否则通过所述加密流量的识别的方法的AI训练模型进行判断。
7.根据权利要求6所述的方法，其特征在于，所述数据流预检测过程包括如下步骤：
S001、从流量中提取目的IP及关联DNS，分别与IP黑名单、和/或DNS黑名单、和/或IP白名单、和/或DNS白名单进行匹配，IP或者DNS命中黑名单的则为恶意加密流量，IP和DNS均命中白名单的为正常加密流量；
S002、将SSL/TLS协议在握手协商的过程中产生的ClientHello消息中的部分消息数值串联后，通过Hash函数得到一个具体的值，该具体值为TLS指纹，将恶意流量的TLS指纹收集后形成TLS指纹黑名单，当流量中的ClientHello所产生的TLS指纹命中黑名单中的TLS指纹，则判定该数据流为恶意加密流量；
S003、将SSL/TLS协议在握手协商的过程中，服务器端返回的X.509证书通过Hash函数计算后得到的一个值，该值为证书指纹，整理知名站点的证书所生成的证书指纹，形成证书指纹白名单；整理恶意程序所使用的证书所生成的证书指纹，形成证书指纹黑名单：当流量中的证书指纹命中所述证书指纹白名单，则判定该数据流为正常加密流量；当流量中的证书指纹命中所述证书指纹黑名单，则判定该数据流为恶意加密流量。
8.一种加密流量的识别装置，其特征在于，包括：
初级AI训练模块：包括多个与数据流的不同特征相关的初级AI训练模型，并通过数据流对所述AI训练初级模型进行训练；
融合模块：使用集合算法将所述AI训练初级模型进行融合；
次级AI训练模块：基于融合模块的融合结果，使用监督学习算法进行次级AI训练，并得到次级AI训练模型；
判定模块：当目标数据流经所述次级AI训练模型后的输出结果，在所述次级AI训练模型正常输出结果阈值范围外时，则判定该目标数据流为恶意流量。
9.一种计算机存储介质，其特征在于，所述计算机存储介质存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求1-7任意一项所述的加密流量的识别的方法。
10.一种电子设备，其特征在于，包括：
至少一个处理器；以及，
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7任意一项所述的加密流量的识别的方法。
CN202010243626.0A 2020-03-31 2020-03-31 一种加密流量的识别方法、装置及设备 Pending CN113469366A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010243626.0A CN113469366A (zh) 2020-03-31 2020-03-31 一种加密流量的识别方法、装置及设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010243626.0A CN113469366A (zh) 2020-03-31 2020-03-31 一种加密流量的识别方法、装置及设备

Publications (1)

Publication Number Publication Date
CN113469366A true CN113469366A (zh) 2021-10-01

Family

ID=77865610

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010243626.0A Pending CN113469366A (zh) 2020-03-31 2020-03-31 一种加密流量的识别方法、装置及设备

Country Status (1)

Country Link
CN (1) CN113469366A (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113923021A (zh) * 2021-10-09 2022-01-11 中国联合网络通信集团有限公司 基于沙箱的加密流量处理方法、系统、设备及介质
CN113992410A (zh) * 2021-10-28 2022-01-28 北京永信至诚科技股份有限公司 一种私有加密数据识别方法及系统
CN114079579A (zh) * 2021-10-21 2022-02-22 北京天融信网络安全技术有限公司 一种恶意加密流量检测方法及装置
CN114091087A (zh) * 2022-01-17 2022-02-25 北京浩瀚深度信息技术股份有限公司 一种基于人工智能算法的加密流量识别方法
CN114268465A (zh) * 2021-12-02 2022-04-01 北京安天网络安全技术有限公司 一种dns恶意数据检测方法、装置、设备及介质
CN115314239A (zh) * 2022-06-21 2022-11-08 中化学交通建设集团有限公司 基于多模型融合的隐匿恶意行为的分析方法和相关设备
WO2024093561A1 (zh) * 2022-11-04 2024-05-10 大唐移动通信设备有限公司 模型训练方法、模型测试方法、装置及存储介质

Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101399672A (zh) * 2008-10-17 2009-04-01 章毅 一种多神经网络融合的入侵检测方法
CN106603519A (zh) * 2016-12-07 2017-04-26 中国科学院信息工程研究所 一种基于证书特征泛化和服务器变迁行为的ssl/tls加密恶意服务发现方法
US20180063163A1 (en) * 2016-08-26 2018-03-01 Cisco Technology, Inc. Learning indicators of compromise with hierarchical models
CN109525508A (zh) * 2018-12-15 2019-03-26 深圳先进技术研究院 基于流量相似性比对的加密流识别方法、装置及存储介质
CN109660533A (zh) * 2018-12-14 2019-04-19 中国平安人寿保险股份有限公司 实时识别异常流量的方法、装置、计算机设备和存储介质
CN109688137A (zh) * 2018-12-27 2019-04-26 深信服科技股份有限公司 一种sql注入攻击的检测方法、系统及相关组件
CN109802924A (zh) * 2017-11-17 2019-05-24 华为技术有限公司 一种识别加密数据流的方法及装置
CN109831422A (zh) * 2019-01-17 2019-05-31 中国科学院信息工程研究所 一种基于端到端序列网络的加密流量分类方法
CN109858245A (zh) * 2019-02-19 2019-06-07 上海海事大学 一种基于改进深度置信网络的入侵检测方法
CN110113349A (zh) * 2019-05-15 2019-08-09 北京工业大学 一种恶意加密流量特征分析方法
CN110247910A (zh) * 2019-06-13 2019-09-17 深信服科技股份有限公司 一种异常流量的检测方法、系统及相关组件
US20200034740A1 (en) * 2017-08-01 2020-01-30 Alibaba Group Holding Limited Method and apparatus for encrypting data, method and apparatus for training machine learning model, and electronic device

Patent Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101399672A (zh) * 2008-10-17 2009-04-01 章毅 一种多神经网络融合的入侵检测方法
US20180063163A1 (en) * 2016-08-26 2018-03-01 Cisco Technology, Inc. Learning indicators of compromise with hierarchical models
CN106603519A (zh) * 2016-12-07 2017-04-26 中国科学院信息工程研究所 一种基于证书特征泛化和服务器变迁行为的ssl/tls加密恶意服务发现方法
US20200034740A1 (en) * 2017-08-01 2020-01-30 Alibaba Group Holding Limited Method and apparatus for encrypting data, method and apparatus for training machine learning model, and electronic device
CN109802924A (zh) * 2017-11-17 2019-05-24 华为技术有限公司 一种识别加密数据流的方法及装置
CN109660533A (zh) * 2018-12-14 2019-04-19 中国平安人寿保险股份有限公司 实时识别异常流量的方法、装置、计算机设备和存储介质
CN109525508A (zh) * 2018-12-15 2019-03-26 深圳先进技术研究院 基于流量相似性比对的加密流识别方法、装置及存储介质
CN109688137A (zh) * 2018-12-27 2019-04-26 深信服科技股份有限公司 一种sql注入攻击的检测方法、系统及相关组件
CN109831422A (zh) * 2019-01-17 2019-05-31 中国科学院信息工程研究所 一种基于端到端序列网络的加密流量分类方法
CN109858245A (zh) * 2019-02-19 2019-06-07 上海海事大学 一种基于改进深度置信网络的入侵检测方法
CN110113349A (zh) * 2019-05-15 2019-08-09 北京工业大学 一种恶意加密流量特征分析方法
CN110247910A (zh) * 2019-06-13 2019-09-17 深信服科技股份有限公司 一种异常流量的检测方法、系统及相关组件

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
SELINA: "stacking详解", 《HTTPS://ZHUANLAN.ZHIHU.COM/P/58635686》, pages 1 - 2 *
SMITHA RAJAGOPAL 等: "A Stacking Ensemble for Network Intrusion Detection Using Heterogeneous Datasets", 《SECURITY AND COMMUNICATION NETWORKS》, pages 1 - 9 *
莫坤 等: "基于Stacking技术的入侵检测系统的设计与实现", 《中国优秀硕士学位论文全文数库 信息科技辑》, no. 2019, pages 139 - 69 *
赵兴文 等: "网络流量识别方案探讨和研究展望", 《第十三届全国信号和智能信息处理与应用学术会议论文集》, pages 1 - 7 *
郑生军 等: "基于多种检测技术融合的入侵检测系统", 《计算机与现代化》, no. 5, pages 116 - 121 *
骆子铭 等: "基于机器学习的 TLS 恶意加密流量检测方案", 《网络与信息安全学报》, vol. 6, no. 1, pages 77 - 83 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113923021A (zh) * 2021-10-09 2022-01-11 中国联合网络通信集团有限公司 基于沙箱的加密流量处理方法、系统、设备及介质
CN113923021B (zh) * 2021-10-09 2023-09-22 中国联合网络通信集团有限公司 基于沙箱的加密流量处理方法、系统、设备及介质
CN114079579A (zh) * 2021-10-21 2022-02-22 北京天融信网络安全技术有限公司 一种恶意加密流量检测方法及装置
CN114079579B (zh) * 2021-10-21 2024-03-15 北京天融信网络安全技术有限公司 一种恶意加密流量检测方法及装置
CN113992410A (zh) * 2021-10-28 2022-01-28 北京永信至诚科技股份有限公司 一种私有加密数据识别方法及系统
CN114268465A (zh) * 2021-12-02 2022-04-01 北京安天网络安全技术有限公司 一种dns恶意数据检测方法、装置、设备及介质
CN114091087A (zh) * 2022-01-17 2022-02-25 北京浩瀚深度信息技术股份有限公司 一种基于人工智能算法的加密流量识别方法
CN114091087B (zh) * 2022-01-17 2022-04-15 北京浩瀚深度信息技术股份有限公司 一种基于人工智能算法的加密流量识别方法
CN115314239A (zh) * 2022-06-21 2022-11-08 中化学交通建设集团有限公司 基于多模型融合的隐匿恶意行为的分析方法和相关设备
WO2024093561A1 (zh) * 2022-11-04 2024-05-10 大唐移动通信设备有限公司 模型训练方法、模型测试方法、装置及存储介质

Similar Documents

Publication Publication Date Title
CN113469366A (zh) 一种加密流量的识别方法、装置及设备
Louvieris et al. Effects-based feature identification for network intrusion detection
EP3065367B1 (en) System and method for automated phishing detection rule evolution
CN112866023B (zh) 网络检测、模型训练方法、装置、设备及存储介质
Kim Image-based malware classification using convolutional neural network
Kaushik Unleashing the power of multi-agent deep learning: Cyber-attack detection in IoT
WO2021169239A1 (zh) 一种爬虫数据的识别方法、系统及设备
Vanitha et al. Malicious-URL detection using logistic regression technique
CN112839055B (zh) 面向tls加密流量的网络应用识别方法、装置及电子设备
Khan Detection of phishing websites using deep learning techniques
Almomani Darknet traffic analysis, and classification system based on modified stacking ensemble learning algorithms
CN114024761A (zh) 网络威胁数据的检测方法、装置、存储介质及电子设备
Vaishnavi et al. A Comparative Analysis of Machine Learning Algorithms on Malicious URL Prediction
Kodati et al. Detection of Fake Profiles on Twitter Using Hybrid SVM Algorithm
din et al. Detection of botnet in IoT network through machine learning based optimized feature importance via ensemble models
Shi et al. Nowhere to hide: A novel private protocol identification algorithm
Picek et al. One-class classification of low volume dos attacks with genetic programming
CN111310176B (zh) 一种基于特征选择的入侵检测方法和装置
Park et al. One-shot malware outbreak detection using spatio-temporal isomorphic dynamic features
Taylor et al. A smart system for detecting behavioural botnet attacks using random forest classifier with principal component analysis
Akanchha Exploring a robust machine learning classifier for detecting phishing domains using SSL certificates
Ramkumar et al. Intrusion detection in manets using support vector machine with ant colony optimization
US20210174199A1 (en) Classifying domain names based on character embedding and deep learning
Bozkır et al. Local image descriptor based phishing web page recognition as an open-set problem
Bakro et al. Developing a cloud intrusion detection system with filter-based features selection techniques and SVM classifier

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination