CN115314265B - 基于流量和时序识别tls加密应用的方法和系统 - Google Patents

基于流量和时序识别tls加密应用的方法和系统 Download PDF

Info

Publication number
CN115314265B
CN115314265B CN202210890822.6A CN202210890822A CN115314265B CN 115314265 B CN115314265 B CN 115314265B CN 202210890822 A CN202210890822 A CN 202210890822A CN 115314265 B CN115314265 B CN 115314265B
Authority
CN
China
Prior art keywords
feature
time sequence
session
traffic
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210890822.6A
Other languages
English (en)
Other versions
CN115314265A (zh
Inventor
吴冠标
胡文波
郭天瑞
李新
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tianjin Guorui Digital Safety System Co ltd
Original Assignee
Tianjin Guorui Digital Safety System Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tianjin Guorui Digital Safety System Co ltd filed Critical Tianjin Guorui Digital Safety System Co ltd
Priority to CN202210890822.6A priority Critical patent/CN115314265B/zh
Publication of CN115314265A publication Critical patent/CN115314265A/zh
Application granted granted Critical
Publication of CN115314265B publication Critical patent/CN115314265B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/004—Artificial life, i.e. computing arrangements simulating life
    • G06N3/006—Artificial life, i.e. computing arrangements simulating life based on simulated virtual individual or collective life forms, e.g. social simulations or particle swarm optimisation [PSO]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem
    • H04L2209/463—Electronic voting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • Molecular Biology (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供一种基于流量和时序识别TLS加密应用的方法和系统，通过根据客户端发送的流量数据是否携带业务载荷或携带的握手信息是否完整，可以快速筛查出恶意代码；通过提取出流量数据的时序特征和空间特征，进行随机森林分类，可以全方面检测并快速突出所需的特征向量，利用整合的不同的分类能力，克服了现有技术恶意代码借用加密流量规避基于端口或载荷关键词的入侵检测，以及需要在新加密协议TLS1.3一次往返过程中完成识别检测的问题。

Description

基于流量和时序识别TLS加密应用的方法和系统
技术领域
本申请涉及网络安全技术领域，尤其涉及一种基于流量和时序识别TLS加密应用的方法和系统。
背景技术
随着流量加密技术的不断发展，加密流量逐渐取代非加密流量成为当前网络的主流，其在保护用户隐私的同时，也常被各种恶意软件用来规避传统的基于端口或载荷关键词的入侵检测系统，给网络安全带来了严重威胁。为了实现网络加密环境下的恶意加密流量精确检测，有必要提出一种针对流量加密的识别检测方法和系统。
同时，新出现的TLS1.3加密协议与之前的TLS1.2加密协议相比，加密连接速度更快了，不再需要两次往返的握手过程，只需要一次往返即可完成握手。这使得在新加密协议TLS1.3使用场景中，识别检测速度要更快更高效，从而在握手成功前发现恶意代码的存在。
因此，急需一种针对性的基于流量和时序识别TLS加密应用的方法和系统。
发明内容
本发明的目的在于提供一种基于流量和时序识别TLS加密应用的方法和系统，解决恶意代码借用加密流量规避基于端口或载荷关键词的入侵检测，以及需要在新加密协议TLS1.3一次往返过程中完成识别检测的问题。
第一方面，本申请提供一种基于流量和时序识别TLS加密应用的方法，所述方法包括：
获取客户端的流量数据，以会话为单位将所述网络流量数据划分为不同的会话流量，提取所述会话流量的特征向量，判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整；
根据划分得到会话流量的数量，判断是否执行进一步的特征压缩，当所述会话流量的数量超过预设的阈值时，则执行特征压缩，将之前提取得到的所述会话流量的特征向量分别输入时序特征模块和空间特征模块；
所述时序特征模块包括若干隐藏层神经元，所述隐藏层神经元分为两组，一组为前向反馈线路，另一组为反向反馈线路，由此组成双向反馈环，每个反馈线路中的当前神经元接收上一个神经元传递来的隐藏层信息，以及接收所述上一个神经元相邻的邻居神经元传递来的状态信息，输出当前时刻的隐藏层信息和当前神经元更新后的状态信息，输出至所述时序特征模块的累加单元进行向量元素对位相加；
所述空间特征模块包括将全局的特征向量保存在多个局部特征矩阵中，捕获不同流量载荷之间的时间序列关系，得到向量之间数据的长距离依赖关系，赋予向量不同的权重值，组成不同的权重矩阵Q、K、V，并行对所述权重矩阵Q、K、V进行线性变换，合并输出全局特征；
提取所述时序特征模块和空间特征模块的全连接神经网络的中间层输出作为所述会话流量的新的时序特征和空间特征，将所述新的时序特征和空间特征拼接在一起得到所述会话流量的混合特征向量；
将所述混合特征向量传输到服务器的随机森林中进行分类，随机森林进行n轮抽取，得到n个训练集，使用抽取的n个训练集由列采样随机使用指定量特征值训练得到n棵决策树，所述n棵决策树按照投票的方式得到分类结果；
根据所述分类结果判断所述客户端的流量数据中是否有恶意代码，当所述客户端的流量数据中存在恶意代码，则服务器终止TLS1.3握手过程。
第二方面，本申请提供一种基于流量和时序识别TLS加密应用的系统，所述系统包括：
预处理模块，用于获取客户端的流量数据，以会话为单位将所述网络流量数据划分为不同的会话流量，提取所述会话流量的特征向量，判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整；根据划分得到会话流量的数量，判断是否执行进一步的特征压缩，当所述会话流量的数量超过预设的阈值时，则执行特征压缩，将之前提取得到的所述会话流量的特征向量分别输入时序特征模块和空间特征模块；
时序特征模块，包括若干隐藏层神经元，所述隐藏层神经元分为两组，一组为前向反馈线路，另一组为反向反馈线路，由此组成双向反馈环，每个反馈线路中的当前神经元接收上一个神经元传递来的隐藏层信息，以及接收所述上一个神经元相邻的邻居神经元传递来的状态信息，输出当前时刻的隐藏层信息和当前神经元更新后的状态信息，输出至所述时序特征模块的累加单元进行向量元素对位相加；
空间特征模块，包括将全局的特征向量保存在多个局部特征矩阵中，捕获不同流量载荷之间的时间序列关系，得到向量之间数据的长距离依赖关系，赋予向量不同的权重值，组成不同的权重矩阵Q、K、V，并行对所述权重矩阵Q、K、V进行线性变换，合并输出全局特征；
分类模块，用于提取所述时序特征模块和空间特征模块的全连接神经网络的中间层输出作为所述会话流量的新的时序特征和空间特征，将所述新的时序特征和空间特征拼接在一起得到所述会话流量的混合特征向量；将所述混合特征向量传输到服务器的随机森林中进行分类，随机森林进行n轮抽取，得到n个训练集，使用抽取的n个训练集由列采样随机使用指定量特征值训练得到n棵决策树，所述n棵决策树按照投票的方式得到分类结果；
执行模块，用于根据所述分类结果判断所述客户端的流量数据中是否有恶意代码，当所述客户端的流量数据中存在恶意代码，则服务器终止TLS1.3握手过程。
第三方面，本申请提供一种基于流量和时序识别TLS加密应用的系统，所述系统包括处理器以及存储器：
所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；
所述处理器用于根据所述程序代码中的指令执行第一方面四种可能中任一项所述的方法。
第四方面，本申请提供一种计算机可读存储介质，所述计算机可读存储介质用于存储程序代码，所述程序代码用于执行第一方面四种可能中任一项所述的方法。
有益效果
本发明提供一种基于流量和时序识别TLS加密应用的方法和系统，通过根据客户端发送的流量数据是否携带业务载荷或携带的握手信息是否完整，可以快速筛查出恶意代码；通过提取出流量数据的时序特征和空间特征，进行随机森林分类，可以全方面检测并快速突出所需的特征向量，利用整合的不同的分类能力，克服了现有技术恶意代码借用加密流量规避基于端口或载荷关键词的入侵检测，以及需要在新加密协议TLS1.3一次往返过程中完成识别检测的问题。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明基于流量和时序识别TLS加密应用的方法的大致流程图；
图2为本发明基于流量和时序识别TLS加密应用的系统的架构图。
具体实施方式
下面结合附图对本发明的优选实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。
TLS1.3是新的传输层加密协议，用于提供web浏览器和服务器之间的安全通信。TLS1.3具有速度更快，安全性更高的特点。
TLS1.3通过TLS错误启动和零往返时间0-RTT加快了加密连接的速度。简单地说，在TLS1.2中完成握手需要两次往返，使用TLS1.3只需要一次往返，反过来又将加密延迟减少了一半，所以加密连接更快了。这使得在新加密协议TLS1.3使用场景中，识别检测速度要更快更高效，从而在握手成功前发现恶意代码的存在。
同时，TLS1.2通常没有正确配置，使得网站容易受到攻击。TLS1.3从TLS1.2中删除了过时和不安全的功能，例如：SHA-1、RC4、DES、3DES、MD5等，因为协议在某种意义上更加简化，使得管理员和开发人员不太可能错误配置协议。
图1为本申请提供的基于流量和时序识别TLS加密应用的方法的大致流程图，所述方法包括：
获取客户端的流量数据，以会话为单位将所述网络流量数据划分为不同的会话流量，提取所述会话流量的特征向量，判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整；
如果会话流量的特征向量不包括业务载荷，则可以认定该会话流量与业务无关，很可能是恶意代码篡改的结果。
如果会话流量的握手信息不完整，则也可以认定该会话流量很可能是恶意代码篡改的结果。
根据划分得到会话流量的数量，判断是否执行进一步的特征压缩，当所述会话流量的数量超过预设的阈值时，则执行特征压缩，将之前提取得到的所述会话流量的特征向量分别输入时序特征模块和空间特征模块；
如果所述会话流量的数量小于预设的阈值时，则可以不必执行特征压缩，直接将特征向量分别输入时序特征模块和空间特征模块。
所述特征压缩是指在已提取得到的所述会话流量的特征向量中，选择部分特异性强的特征量，以此来压缩数据量和提高运算速度。可以采用现有技术中常见的特征压缩方法。
所述时序特征模块包括若干隐藏层神经元，所述隐藏层神经元分为两组，一组为前向反馈线路，另一组为反向反馈线路，由此组成双向反馈环，每个反馈线路中的当前神经元接收上一个神经元传递来的隐藏层信息，以及接收所述上一个神经元相邻的邻居神经元传递来的状态信息，输出当前时刻的隐藏层信息和当前神经元更新后的状态信息，输出至所述时序特征模块的累加单元进行向量元素对位相加；
通过上述若干隐藏层神经元组成的多层次结构实现输入混合特征向量的信息传递和长期记忆能力。
所述空间特征模块包括将全局的特征向量保存在多个局部特征矩阵中，捕获不同流量载荷之间的时间序列关系，得到向量之间数据的长距离依赖关系，赋予向量不同的权重值，组成不同的权重矩阵Q、K、V，并行对所述权重矩阵Q、K、V进行线性变换，合并输出全局特征；
提取所述时序特征模块和空间特征模块的全连接神经网络的中间层输出作为所述会话流量的新的时序特征和空间特征，将所述新的时序特征和空间特征拼接在一起得到所述会话流量的混合特征向量；
将所述混合特征向量传输到服务器的随机森林中进行分类，随机森林进行n轮抽取，得到n个训练集，使用抽取的n个训练集由列采样随机使用指定量特征值训练得到n棵决策树，所述n棵决策树按照投票的方式得到分类结果；
根据所述分类结果判断所述客户端的流量数据中是否有恶意代码，当所述客户端的流量数据中存在恶意代码，则服务器终止TLS1.3握手过程。
当所述客户端的流量数据中不存在恶意代码，则服务器按照TLS1.3的握手执行标准完成握手过程。
在一些优选实施例中，所述判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整，包括：如果会话流量的特征向量不包括业务载荷，则认定该会话流量与业务无关，是恶意代码篡改的结果；如果会话流量的握手信息不完整，则认定该会话流量是恶意代码篡改的结果。
在一些优选实施例中，所述每棵决策树的分类能力具有针对性，所述指定量特征值是根据不同分类得出的，将同一个特征向量矩阵通过决策树按照不同的角度进行分类，即完成针对不同分类能力的整合功能。其分类性能高于单个分类器。
随机森林中一棵决策树的平均泛化误差与回归函数有关。
在一些优选实施例中，所述投票的方式包括将每棵决策树的输出结果进行加权累加。
图2为本申请提供的基于流量和时序识别TLS加密应用的系统的架构图，所述系统包括：
预处理模块，用于获取客户端的流量数据，以会话为单位将所述网络流量数据划分为不同的会话流量，提取所述会话流量的特征向量，判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整；根据划分得到会话流量的数量，判断是否执行进一步的特征压缩，当所述会话流量的数量超过预设的阈值时，则执行特征压缩，将之前提取得到的所述会话流量的特征向量分别输入时序特征模块和空间特征模块；
时序特征模块，包括若干隐藏层神经元，所述隐藏层神经元分为两组，一组为前向反馈线路，另一组为反向反馈线路，由此组成双向反馈环，每个反馈线路中的当前神经元接收上一个神经元传递来的隐藏层信息，以及接收所述上一个神经元相邻的邻居神经元传递来的状态信息，输出当前时刻的隐藏层信息和当前神经元更新后的状态信息，输出至所述时序特征模块的累加单元进行向量元素对位相加；
空间特征模块，包括将全局的特征向量保存在多个局部特征矩阵中，捕获不同流量载荷之间的时间序列关系，得到向量之间数据的长距离依赖关系，赋予向量不同的权重值，组成不同的权重矩阵Q、K、V，并行对所述权重矩阵Q、K、V进行线性变换，合并输出全局特征；
分类模块，用于提取所述时序特征模块和空间特征模块的全连接神经网络的中间层输出作为所述会话流量的新的时序特征和空间特征，将所述新的时序特征和空间特征拼接在一起得到所述会话流量的混合特征向量；将所述混合特征向量传输到服务器的随机森林中进行分类，随机森林进行n轮抽取，得到n个训练集，使用抽取的n个训练集由列采样随机使用指定量特征值训练得到n棵决策树，所述n棵决策树按照投票的方式得到分类结果；
执行模块，用于根据所述分类结果判断所述客户端的流量数据中是否有恶意代码，当所述客户端的流量数据中存在恶意代码，则服务器终止TLS1.3握手过程。
本申请提供一种基于流量和时序识别TLS加密应用的系统，所述系统包括：所述系统包括处理器以及存储器：
所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；
所述处理器用于根据所述程序代码中的指令执行第一方面所有实施例中任一项所述的方法。
本申请提供一种计算机可读存储介质，所述计算机可读存储介质用于存储程序代码，所述程序代码用于执行第一方面所有实施例中任一项所述的方法。
具体实现中，本发明还提供一种计算机存储介质，其中，该计算机存储介质可以存储有程序，该程序执行时可包括本发明各个实施例中的部分或全部步骤。所述的存储介质可以为磁碟、光盘、只读存储记忆体(简称：ROM)或随机存储记忆体(简称：RAM)等。
本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
本说明书各个实施例之间相同相似的部分互相参见即可。尤其，对于实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。
以上所述的本发明实施方式并不构成对本发明保护范围的限定。

Claims (7)

1.一种基于流量和时序识别TLS加密应用的方法，其特征在于，所述方法包括：
获取客户端的流量数据，以会话为单位将网络流量数据划分为不同的会话流量，提取所述会话流量的特征向量，判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整；
根据划分得到会话流量的数量，判断是否执行进一步的特征压缩，当所述会话流量的数量超过预设的阈值时，则执行特征压缩，将之前提取得到的所述会话流量的特征向量分别输入时序特征模块和空间特征模块；
所述时序特征模块包括若干隐藏层神经元，所述隐藏层神经元分为两组，一组为前向反馈线路，另一组为反向反馈线路，由此组成双向反馈环，每个反馈线路中的当前神经元接收上一个神经元传递来的隐藏层信息，以及接收所述上一个神经元相邻的邻居神经元传递来的状态信息，输出当前时刻的隐藏层信息和当前神经元更新后的状态信息，输出至所述时序特征模块的累加单元进行向量元素对位相加；
所述空间特征模块包括将全局的特征向量保存在多个局部特征矩阵中，捕获不同流量载荷之间的时间序列关系，得到向量之间数据的长距离依赖关系，赋予向量不同的权重值，组成不同的权重矩阵Q、K、V，并行对所述权重矩阵Q、K、V进行线性变换，合并输出全局特征；
提取所述时序特征模块和空间特征模块的全连接神经网络的中间层输出作为所述会话流量的新的时序特征和空间特征，将所述新的时序特征和空间特征拼接在一起得到所述会话流量的混合特征向量；
将所述混合特征向量传输到服务器的随机森林中进行分类，随机森林进行n轮抽取，得到n个训练集，使用抽取的n个训练集由列采样随机使用指定量特征值训练得到n棵决策树，所述n棵决策树按照投票的方式得到分类结果；
根据所述分类结果判断所述客户端的流量数据中是否有恶意代码，当所述客户端的流量数据中存在恶意代码，则服务器终止TLS1.3握手过程。
2.根据权利要求1所述的方法，其特征在于：所述判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整，包括：如果会话流量的特征向量不包括业务载荷，则认定该会话流量与业务无关，是恶意代码篡改的结果；如果会话流量的握手信息不完整，则认定该会话流量是恶意代码篡改的结果。
3.根据权利要求1所述的方法，其特征在于：每棵决策树的分类能力具有针对性，所述指定量特征值是根据不同分类得出的，将同一个特征向量矩阵通过决策树按照不同的角度进行分类，即完成针对不同分类能力的整合功能。
4.根据权利要求2或3任一项所述的方法，其特征在于：所述投票的方式包括将每棵决策树的输出结果进行加权累加。
5.一种基于流量和时序识别TLS加密应用的系统，其特征在于，所述系统包括：
预处理模块，用于获取客户端的流量数据，以会话为单位将网络流量数据划分为不同的会话流量，提取所述会话流量的特征向量，判断所述特征向量是否包括业务载荷，以及判断握手信息是否完整；根据划分得到会话流量的数量，判断是否执行进一步的特征压缩，当所述会话流量的数量超过预设的阈值时，则执行特征压缩，将之前提取得到的所述会话流量的特征向量分别输入时序特征模块和空间特征模块；
时序特征模块，包括若干隐藏层神经元，所述隐藏层神经元分为两组，一组为前向反馈线路，另一组为反向反馈线路，由此组成双向反馈环，每个反馈线路中的当前神经元接收上一个神经元传递来的隐藏层信息，以及接收所述上一个神经元相邻的邻居神经元传递来的状态信息，输出当前时刻的隐藏层信息和当前神经元更新后的状态信息，输出至所述时序特征模块的累加单元进行向量元素对位相加；
空间特征模块，包括将全局的特征向量保存在多个局部特征矩阵中，捕获不同流量载荷之间的时间序列关系，得到向量之间数据的长距离依赖关系，赋予向量不同的权重值，组成不同的权重矩阵Q、K、V，并行对所述权重矩阵Q、K、V进行线性变换，合并输出全局特征；
分类模块，用于提取所述时序特征模块和空间特征模块的全连接神经网络的中间层输出作为所述会话流量的新的时序特征和空间特征，将所述新的时序特征和空间特征拼接在一起得到所述会话流量的混合特征向量；将所述混合特征向量传输到服务器的随机森林中进行分类，随机森林进行n轮抽取，得到n个训练集，使用抽取的n个训练集由列采样随机使用指定量特征值训练得到n棵决策树，所述n棵决策树按照投票的方式得到分类结果；
执行模块，用于根据所述分类结果判断所述客户端的流量数据中是否有恶意代码，当所述客户端的流量数据中存在恶意代码，则服务器终止TLS1.3握手过程。
6.一种基于流量和时序识别TLS加密应用的系统，其特征在于，所述系统包括处理器以及存储器：
所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；
所述处理器用于根据所述程序代码中的指令执行实现权利要求1-4任一项所述的方法。
7.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质用于存储程序代码，所述程序代码用于执行实现权利要求1-4任一项所述的方法。
CN202210890822.6A 2022-07-27 2022-07-27 基于流量和时序识别tls加密应用的方法和系统 Active CN115314265B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210890822.6A CN115314265B (zh) 2022-07-27 2022-07-27 基于流量和时序识别tls加密应用的方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210890822.6A CN115314265B (zh) 2022-07-27 2022-07-27 基于流量和时序识别tls加密应用的方法和系统

Publications (2)

Publication Number Publication Date
CN115314265A CN115314265A (zh) 2022-11-08
CN115314265B true CN115314265B (zh) 2023-07-18

Family

ID=83858631

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210890822.6A Active CN115314265B (zh) 2022-07-27 2022-07-27 基于流量和时序识别tls加密应用的方法和系统

Country Status (1)

Country Link
CN (1) CN115314265B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115333801B (zh) * 2022-07-27 2024-08-16 北京国瑞数智技术有限公司 一种基于双向报文入侵检测的方法和系统
CN116825215B (zh) * 2023-02-28 2024-04-16 福建省龙德新能源有限公司 用于六氟磷酸锂制备的流体循环反应控制系统及其方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112767997A (zh) * 2021-02-04 2021-05-07 齐鲁工业大学 一种基于多尺度卷积注意力神经网络的蛋白质二级结构预测方法
CN112822167A (zh) * 2020-12-31 2021-05-18 杭州立思辰安科科技有限公司 异常tls加密流量检测方法与系统
CN113037730A (zh) * 2021-02-27 2021-06-25 中国人民解放军战略支援部队信息工程大学 基于多特征学习的网络加密流量分类方法及系统
CN113114672A (zh) * 2021-04-12 2021-07-13 常熟市国瑞科技股份有限公司 一种视频传输数据精细化测量方法
CN113542259A (zh) * 2021-07-12 2021-10-22 中山大学 基于多模态深度学习的加密恶意流量检测方法及系统
CN113591728A (zh) * 2021-08-03 2021-11-02 天津大学 基于集成深度学习的电能质量扰动分类方法
CN114610706A (zh) * 2022-03-23 2022-06-10 广东电网有限责任公司 基于过采样和改进随机森林的窃电检测方法、系统及装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10356117B2 (en) * 2017-07-13 2019-07-16 Cisco Technology, Inc. Bayesian tree aggregation in decision forests to increase detection of rare malware
US11003774B2 (en) * 2018-01-26 2021-05-11 Sophos Limited Methods and apparatus for detection of malicious documents using machine learning

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112822167A (zh) * 2020-12-31 2021-05-18 杭州立思辰安科科技有限公司 异常tls加密流量检测方法与系统
CN112767997A (zh) * 2021-02-04 2021-05-07 齐鲁工业大学 一种基于多尺度卷积注意力神经网络的蛋白质二级结构预测方法
CN113037730A (zh) * 2021-02-27 2021-06-25 中国人民解放军战略支援部队信息工程大学 基于多特征学习的网络加密流量分类方法及系统
CN113114672A (zh) * 2021-04-12 2021-07-13 常熟市国瑞科技股份有限公司 一种视频传输数据精细化测量方法
CN113542259A (zh) * 2021-07-12 2021-10-22 中山大学 基于多模态深度学习的加密恶意流量检测方法及系统
CN113591728A (zh) * 2021-08-03 2021-11-02 天津大学 基于集成深度学习的电能质量扰动分类方法
CN114610706A (zh) * 2022-03-23 2022-06-10 广东电网有限责任公司 基于过采样和改进随机森林的窃电检测方法、系统及装置

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
Effectiveness Evaluation of Evasion Attack on Encrypted Malicious Traffic Detection;Jian Liu;《 2022 IEEE Wireless Communications and Networking Conference (WCNC)》;全文 *
加密流量中的恶意流量识别技术;曾勇;《西安电子科技大学学报 》;全文 *
基于图卷积网络交通流预测的研究与应用;麻蕊;《中国优秀硕士学位论文全文数据库信息科技辑》;全文 *
基于网络流特征的流量分析与识别技术研究;蒋鹏飞;《万方在线出版》;全文 *

Also Published As

Publication number Publication date
CN115314265A (zh) 2022-11-08

Similar Documents

Publication Publication Date Title
CN115314265B (zh) 基于流量和时序识别tls加密应用的方法和系统
Parra et al. Detecting Internet of Things attacks using distributed deep learning
CN112003870B (zh) 一种基于深度学习的网络加密流量识别方法及装置
Garcia et al. Distributed real-time SlowDoS attacks detection over encrypted traffic using Artificial Intelligence
CN107122221B (zh) 用于正则表达式的编译器
Wang et al. A Host‐Based Anomaly Detection Framework Using XGBoost and LSTM for IoT Devices
CN111866024B (zh) 一种网络加密流量识别方法及装置
CN111371778B (zh) 攻击团伙的识别方法、装置、计算设备以及介质
JP7531816B2 (ja) イメージ基盤悪性コード検知方法および装置とこれを利用する人工知能基盤エンドポイント脅威検知および対応システム
Yuan et al. A novel approach for malicious URL detection based on the joint model
CN115314268B (zh) 基于流量指纹和行为的恶意加密流量检测方法和系统
Agrafiotis et al. Image-based neural network models for malware traffic classification using pcap to picture conversion
Wang et al. Identifying DApps and user behaviors on ethereum via encrypted traffic
CN112581129A (zh) 区块链交易数据治理方法及装置、计算机设备及存储介质
Zaib et al. Deep learning based cyber bullying early detection using distributed denial of service flow
CN115333801B (zh) 一种基于双向报文入侵检测的方法和系统
Kolpe et al. Botnet detection using Bayes classifier
Liu et al. Spatial‐Temporal Feature with Dual‐Attention Mechanism for Encrypted Malicious Traffic Detection
Hung et al. An efficient GPU-based multiple pattern matching algorithm for packet filtering
Sayed et al. Augmenting IoT intrusion detection system performance using deep neural network
Ahanger et al. Securing Consumer Internet of Things for Botnet Attacks: Deep Learning Approach.
CN114422207B (zh) 基于多模态的c&c通信流量检测方法及装置
Subashini et al. Website Phishing Detection of Machine Learning Approach using SMOTE method
Wu et al. Bot-DM: A dual-modal botnet detection method based on the combination of implicit semantic expression and graphical expression
Guo et al. MGEL: a robust malware encrypted traffic detection method based on ensemble learning with multi-grained features

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant