CN113691537B - 基于图分析的恶意加密流量检测方法 - Google Patents

Abstract

本发明的实施例提供了一种基于图分析的恶意加密流量检测方法，涉及网络通信技术领域。基于图分析的恶意加密流量检测方法包括：提取已经打标的加密流量的特征；采用加密流量的特征对GraphSAGE图模型进行训练；提取待检测的加密流量的特征，并输入训练好的GraphSAGE图模型，以判断加密流量是否为恶意。该检测方法能够快速、准确地判断加密流量是否为恶意，而且，无需对加密流量解密。

Description

基于图分析的恶意加密流量检测方法

技术领域

本发明涉及网络通信技术领域，具体而言，涉及一种基于图分析的恶意加密流量检测方法。

背景技术

随着互联网应用规模的扩大，对网络安全风险防范的意识不断增强，越来越多的应用通过加密手段实现隐私数据保护，网络中加密流量占比越来越高。与此同时，攻击者也通过加密手段隐藏自己的信息，使用加密通信的恶意代码、加密信道的恶意攻击层出不穷，这给传统的基于规则的流量检测方法带来了巨大挑战。

目前主流的加密流量攻击检测手段有两种：解密后检测和不解密检测。业界网关设备主要使用解密流量的方法检测攻击行为，但这种方法会消耗大量的资源，成本很高，同时也违反了加密的初衷，解密过程会受到隐私保护相关法律法规的严格限制。出于保护用户隐私的考量，不解密进行流量检测的方法逐渐被业界研究人员关注起来，这种方法无需对其进行解密，通过利用己经掌握的数据资源，对加密流量进行判别。

传统不解密流量检测方法主要基于五元组信息。但是在当前网络环境中，随着端口跳变技术、动态端口技术、隧道技术的提出与使用，使得基于端口等五元组信息的流量检测方法己经无法满足检测需求。

发明内容

本发明的目的包括提供一种基于图分析的恶意加密流量检测方法，其能够快速、准确地判断加密流量是否为恶意，而且，无需对加密流量解密。

本发明的实施例可以这样实现：

第一方面，本发明提供一种基于图分析的恶意加密流量检测方法，方法包括：

提取已经打标的加密流量的特征；

采用加密流量的特征对GraphSAGE图模型进行训练；

提取待检测的加密流量的特征，并输入训练好的GraphSAGE图模型，以判断加密流量是否为恶意。

在可选的实施方式中，特征包括统计特征和图像特征。

在可选的实施方式中，已经打标的加密流量的样本格式为：[标签，ID编号，特征，G]；

其中，标签表示加密流量为恶意流量或正常流量；

ID编号表示加密流量的身份标识；

特征表示统计特征或图像特征；

G表示为G＝(V，E，X)；

其中，V＝{v₁，v₂，v₃，···}是加密流量的图像特征的节点集合，v_i表示ID编号为i的加密流量的节点；

E＝{e_ij，e_pq，e_xy，···}表示无向边集合，若v_i和v_j有关系，则e_ij＝1，若v_i和v_j没有关系，则e_ij＝0；

X＝{x₁，x₂，x₃，···}表示节点属性集合，x_i表示ID编号为i的节点的统计特征。

在可选的实施方式中，v_i＝{x_i,y_i}，即v_i有两种表示形式x_i和y_i，其中，x_i表示属性特征集合，y_i表示灰度图。

在可选的实施方式中，v_i和v_j是否有关系的判断方法包括：

计算每一个节点与其余节点的相似度；

根据相似度，构建相似度矩阵S：

其中，S_ij表示节点i和节点j的相似度，S₁₁＝S₂₂＝···＝S_NN＝1；

根据相似度矩阵S，得到邻接矩阵A：

其中，当且仅当S_ij在S_i1至S_iN中排在前K个时，a_ij＝1，其余情况下a_ij＝0；

当加密流量的证书颁发主体和证书颁发机构相同且a_ij＝0，则e_ij＝1；其余情况e_ij＝a_ij。

在可选的实施方式中，统计特征包括连接特征、SSL特征和证书特征，提取统计特征的方法包括：

解析加密流量的样本数据，生成日志文件；

从日志文件中提取连接特征、SSL特征和证书特征。

在可选的实施方式中，日志文件包括conn.log文件、ssl.log文件和x509.log文件，从日志文件中提取连接特征、SSL特征和证书特征的步骤包括：

从conn.log文件中提取连接特征；

从ssl.log文件中提取SSL特征；

从x509.log文件中提取证书特征。

在可选的实施方式中，提取图像特征的方法包括：

流量切分：将连续的原始的加密流量拆分为多个会话文件；

流量清洗：删除会话文件中对分类结果会产生干扰以及会导致模型产生偏差的信息数据；

图片生成：将清洗过的会话文件进行处理，生成图像特征。

在可选的实施方式中，图片生成的步骤包括：

对清洗过的会话文件的前784个字节进行统一长度处理；

以字节为单位转换为0至255中的一个整数，使得每个字节对应一个灰度像素值；

将784个字节排列成28*28的矩阵，并构造为宽28个像素、高28个像素的灰度图像，灰度图像即为图像特征。

在可选的实施方式中，对清洗过的会话文件的前784个字节进行统一长度处理的步骤包括：

对文件长度大于784个字节的会话文件，截取会话文件前784个字节的长度；

对文件长度小于784个字节的会话文件，在会话文件的后面补充0x00直到文件长度为784个字节。

本发明实施例提供的基于图分析的恶意加密流量检测方法的有益效果包括：

该检测方法首先通过提取已经打标的加密流量的特征，并用这些特征训练模型，然后提取待检测的加密流量的特征，并输入训练好的GraphSAGE图模型，就能够判断出待检测的加密流量是否为恶意，能够快速、准确地判断加密流量是否为恶意，而且，无需对加密流量解密。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本发明实施例提供的基于图分析的恶意加密流量检测方法的流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

需要说明的是，在不冲突的情况下，本发明的实施例中的特征可以相互结合。

请参考图1，本实施例提供了一种基于图分析的恶意加密流量检测方法(以下简称：“检测方法”)，该检测方法包括以下步骤：

S1：提取已经打标的加密流量的特征。

其中，已经打标的加密流量是指已经标记为恶意或非恶意的加密流量。特征包括统计特征和图像特征。

首先，解析加密流量的样本数据，生成日志文件，日志文件包括conn.log文件、ssl.log文件和x509.log文件；然后，从日志文件中提取统计特征，统计特征包括连接特征、SSL特征和证书特征。

具体的，在处理每一次连接时，每个会话分配一个唯一的索引，并生成与之对应的各个日志文件。当一个ssl.log文件包含一次连接的SSL/TLS会话信息时，可以使用其唯一的索引，在x509.log文件中可以找到与该会话有关的证书特征。

conn.log文件包含连接特征，如源IP地址、目的IP地址、使用的端口、连接时间、上行流和下行流数据包的个数和尺寸等。因此，从conn.log文件中提取连接特征。

ssl.log文件包含SSL特征，如时间戳、版本、握手过程中商定的密钥、服务器名称等信息。因此，从ssl.log文件中提取SSL特征。

x509.log文件包含证书特征，如证书序列号、版本、颁发者、有效期、密钥类型、长度、服务器DNS等。因此，从x509.log文件中提取证书特征。

其中，提取图像特征的方法包括：

流量切分：以会话文件作为切分加密流量的粒度，将连续的原始的加密流量拆分为多个会话文件，会话文件的输出数据格式为pcap，以便与常用的处理工具适配；

流量清洗：删除会话文件中对分类结果会产生干扰以及会导致模型产生偏差的信息数据，具体的，首先，对数据链路层和网络层中的MAC地址和IP地址进行随机化处理，去除MAC地址和IP地址等对分类结果产生干扰的特定消息；其次，删除可能会导致模型产生偏差的空流以及重复数据；

图片生成：将清洗过的会话文件进行处理，生成图像特征。

其中，图片生成的步骤包括：

首先，对清洗过的会话文件的前784个字节进行统一长度处理；其中，对文件长度大于784个字节的会话文件，截取会话文件前784个字节的长度；对文件长度小于784个字节的会话文件，在会话文件的后面补充0x00直到文件长度为784个字节。

然后，以字节为单位转换为0至255中的一个整数，使得每个字节对应一个灰度像素值；

最后，将784个字节排列成28*28的矩阵，并构造为宽28个像素、高28个像素的灰度图像，灰度图像即为图像特征。

提取图像特征的方法还有很多，任何可以将加密流量的字节转为图像的方法都可以应用至GraphSAGE图模型。

S2：采用加密流量的特征对GraphSAGE图模型进行训练。

具体的，利用S1中提取的统计特征和图像特征构建加密流量的KNN图，使GraphSAGE图模型对KNN图进行有监督的二分类，完成对GraphSAGE图模型的训练。具体地，通过聚合其邻居的特征得到加密流量的高级嵌入向量，最终将向量输入到分类器中得到判别分类，其中参数的设置可根据不同的数据集进行调优。

KNN图中，节点之间的关联关系由图像特征构建而成，节点的属性来源于统计特征。

具体的，已经打标的加密流量的样本格式为：[标签，ID编号，特征，G]。

其中，标签表示加密流量为恶意流量或正常流量。

ID编号表示加密流量的身份标识，使得每一个加密流量都有一个唯一标识。

特征表示统计特征或图像特征。

G表示为G＝(V，E，X)。

其中，V＝{v₁，v₂，v₃，···}是加密流量的图像特征的节点集合，v_i表示ID编号为i的加密流量的节点。

E＝{e_ij，e_pq，e_xy，···}表示无向边集合，若v_i和v_j有关系，则e_ij＝1，若v_i和v_j没有关系，则e_ij＝0；v_i在进行特征表述时，有属性特征和图像特征拼接表示，即v_i＝{x_i,y_i}，即v_i有两种表示形式x_i和y_i，其中，x_i表示属性特征集合，y_i表示灰度图。

其中，v_i和v_j是否有关系的判断方法包括：

首先，计算每一个节点与其余节点的相似度，也就是说，对每一条加密流量的灰度图采用图像处理领域的相关算法，例如：Heat Kernel算法，计算该节点与其余节点的相似度；

然后，根据相似度，构建相似度矩阵S：

其中，S_ij表示节点i和节点j的相似度，S₁₁＝S₂₂＝···＝S_NN＝1；

S_ij的计算公式为：

其中，t是热传导方程中的时间参数。

最后，根据相似度矩阵S，得到邻接矩阵A：

其中，当且仅当S_ij在S_i1至S_iN中排在前K个时，a_ij＝1，其余情况下a_ij＝0；

当加密流量的证书颁发主体和证书颁发机构相同且a_ij＝0，则e_ij＝1；其余情况e_ij＝a_ij。

X＝{x₁，x₂，x₃，···}表示节点属性集合，x_i表示ID编号为i的节点的统计特征。

S3：提取待检测的加密流量的特征，并输入训练好的GraphSAGE图模型，以判断加密流量是否为恶意。

对于任何一条加密流量，将其特征输入训练好的GraphSAGE图模型，GraphSAGE图模型可以自动判断出该加密流量是否为恶意流量。

在其它实施例中，还可以提取已经打标的加密流量的其它特征来训练GraphSAGE图模型，本实施例采用的GraphSAGE图模型具有良好的灵活性和扩展性。

本发明实施例提供的基于图分析的恶意加密流量检测方法的有益效果包括：

1.该检测方法首先通过提取已经打标的加密流量的特征，并用这些特征训练模型，然后提取待检测的加密流量的特征，并输入训练好的GraphSAGE图模型，就能够判断出待检测的加密流量是否为恶意，能够快速、准确地判断加密流量是否为恶意，而且，无需对加密流量解密；

2.该检测方法考虑到了特征与特征之间的相关性以及流量与流量之间的相关性，利用属性特征构建KNN图，利用图像相似性构建关联关系，从关联角度融合两类特征，检测方法简单，准确性高。

以上，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (9)

1.一种基于图分析的恶意加密流量检测方法，其特征在于，所述方法包括：

提取已经打标的加密流量的特征，所述特征包括统计特征和图像特征，所述统计特征包括连接特征、SSL特征和证书特征；

采用所述加密流量的所述特征对GraphSAGE图模型进行训练；

提取待检测的所述加密流量的所述特征，并输入训练好的所述GraphSAGE图模型，以判断所述加密流量是否为恶意。

2.根据权利要求1所述的基于图分析的恶意加密流量检测方法，其特征在于，已经打标的所述加密流量的样本格式为：[标签，ID编号，特征，G]；

其中，所述标签表示加密流量为恶意流量或正常流量；

所述ID编号表示加密流量的身份标识；

所述特征表示统计特征或图像特征；

所述G表示为G＝(V，E，X)；

其中，V＝{v₁，v₂，v₃，···}是加密流量的图像特征的节点集合，v_i表示ID编号为i的加密流量的节点；

E＝{e_ij，e_pq，e_xy，···}表示无向边集合，若v_i和v_j有关系，则e_ij＝1，若v_i和v_j没有关系，则e_ij＝0；

X＝{x₁，x₂，x₃，···}表示节点属性集合，x_i表示ID编号为i的节点的统计特征。

3.根据权利要求2所述的基于图分析的恶意加密流量检测方法，其特征在于，v_i＝{x_i,y_i}，即v_i有两种表示形式x_i和y_i，其中，x_i表示属性特征集合，y_i表示灰度图。

4.根据权利要求2或3所述的基于图分析的恶意加密流量检测方法，其特征在于，v_i和v_j是否有关系的判断方法包括：

计算每一个节点与其余节点的相似度；

根据所述相似度，构建相似度矩阵S：

其中，S_ij表示节点i和节点j的相似度，S₁₁＝S₂₂＝···＝S_NN＝1；

根据所述相似度矩阵S，得到邻接矩阵A：

其中，当且仅当S_ij在S_i1至S_iN中排在前K个时，a_ij＝1，其余情况下a_ij＝0；

当加密流量的证书颁发主体和证书颁发机构相同且a_ij＝0，则e_ij＝1；其余情况e_ij＝a_ij。

5.根据权利要求1或2所述的基于图分析的恶意加密流量检测方法，其特征在于，提取所述统计特征的方法包括：

解析所述加密流量的样本数据，生成日志文件；

从所述日志文件中提取所述连接特征、所述SSL特征和所述证书特征。

6.根据权利要求5所述的基于图分析的恶意加密流量检测方法，其特征在于，所述日志文件包括conn.log文件、ssl.log文件和x509.log文件，所述从所述日志文件中提取所述连接特征、所述SSL特征和所述证书特征的步骤包括：

从所述conn.log文件中提取所述连接特征；

从所述ssl.log文件中提取所述SSL特征；

从所述x509.log文件中提取所述证书特征。

7.根据权利要求1或2所述的基于图分析的恶意加密流量检测方法，其特征在于，提取所述图像特征的方法包括：

流量切分：将连续的原始的所述加密流量拆分为多个会话文件；

流量清洗：删除所述会话文件中对分类结果会产生干扰以及会导致所述模型产生偏差的信息数据；

图片生成：将清洗过的所述会话文件进行处理，生成所述图像特征。

8.根据权利要求7所述的基于图分析的恶意加密流量检测方法，其特征在于，所述图片生成的步骤包括：

对清洗过的所述会话文件的前784个字节进行统一长度处理；

以字节为单位转换为0至255中的一个整数，使得每个字节对应一个灰度像素值；

将784个字节排列成28*28的矩阵，并构造为宽28个像素、高28个像素的灰度图像，所述灰度图像即为所述图像特征。

9.根据权利要求8所述的基于图分析的恶意加密流量检测方法，其特征在于，所述对清洗过的所述会话文件的前784个字节进行统一长度处理的步骤包括：

对文件长度大于784个字节的所述会话文件，截取所述会话文件前784个字节的长度；

对文件长度小于784个字节的所述会话文件，在所述会话文件的后面补充0x00直到文件长度为784个字节。

Images