[發明專利]惡意加密流量檢測器、識別方法以及計算機程序元件

有效

• 申請號: 201680028446.2
• 申請日: 2016-03-15
• 公開（公告）號: CN107646190B
• 公開（公告）日: 2021-03-16
• 發明（設計）人: B·阿茲維恩;F·艾爾-莫薩;G·卡洛斯
• 申請（專利權）人: 英國電訊有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 呂俊剛;師瑋

1.一種連接到計算機網絡的惡意加密流量檢測器，所述檢測器包括：

傅里葉變換系數評估器；

系數比較器；

存儲部，其存儲惡意加密網絡連接的網絡流量的一部分中的多個字節中的每一個字節的基準傅里葉變換系數集，

其中，所述評估器適于對通過所述計算機網絡傳送的網絡流量的對應部分中的字節集中的每一個字節的傅里葉變換系數進行評估，其中，該部分包含應用協議連接建立部分，并且所述比較器適于將所評估的系數與所述基準傅里葉變換系數進行比較以確定惡意加密網絡流量是否通過所述計算機網絡的網絡連接傳送。

2.根據權利要求1所述的惡意加密流量檢測器，所述惡意加密流量檢測器還包括：保護性組件，其適于進行以下中的一項或更多項：終止所述網絡連接；發起針對安裝在所述網絡連接的端點計算機系統處的惡意程序的掃描；以及調整端點計算機系統或網絡連接的安全級別，

其中，所述保護性組件對所述評估器對惡意加密網絡流量通過所述網絡連接傳送的確定做出反應。

3.一種用于識別惡意加密網絡流量的方法，所述惡意加密網絡流量經由第一計算機系統與第二計算機系統之間的網絡傳送，所述方法包括：

監控所述網絡上的網絡流量以將網絡連接檢測為新網絡連接；

識別所述網絡連接的特征以確定所述網絡連接的協議；

基于所確定的協議，檢索網絡連接的網絡流量的一部分的定義；

基于所檢索的定義，評估所述新網絡連接的網絡流量的一部分中的多個字節中的每一個字節的傅里葉變換系數值，其中，該部分包含應用協議連接建立部分；以及

將所評估的系數值與一個或更多個基準傅里葉變換系數集的字典進行比較，以確定惡意加密網絡流量是否通過所述網絡連接傳送，所述一個或更多個基準傅里葉變換系數集中的每一個與惡意加密網絡連接的網絡流量的一部分相關聯。

4.根據權利要求3所述的方法，其中，網絡流量的所述部分是在傳輸協議握手之后并且直到預定端點的所述網絡流量的連續子集。

5.根據權利要求4所述的方法，其中，所述預定端點被選擇為對應于網絡流量的應用協議連接建立部分的結束。

6.根據權利要求3到5中任一項所述的方法，所述方法還包括：響應于確定惡意加密網絡流量通過受監控的網絡連接傳送，觸發保護性組件以相對于所述惡意加密網絡流量保護所述網絡連接的端點。

7.根據權利要求6所述的方法，其中，所述保護性組件能夠工作為進行以下中的一項或更多項：終止所述網絡連接；發起針對安裝在端點計算機系統上的惡意程序的掃描；以及調整端點計算機系統或網絡連接的安全級別。

8.根據權利要求3所述的方法，其中，網絡流量的所述部分被定義為使得惡意程序網絡傳送的加密惡意網絡流量的所述部分的評估的傅里葉變換系數集大體上將所述惡意程序網絡傳送與非惡意程序網絡傳送區分開。

9.根據權利要求3所述的方法，其中，所述網絡連接經由傳輸控制協議TCP連接提供，并且所述部分被定義為在TCP握手部分之后并且直到所述網絡連接上的網絡流量的流中的所述流量被大體上全部加密的點發生在所述網絡連接上的流量的連續子集。

10.根據權利要求3所述的方法，其中，所述字典中的所述一個或更多個基準傅里葉變換系數集中的每一個是系數值的范圍的集合，并且對惡意流量通過所述網絡連接傳送的所述確定基于對所評估的系數集中的系數落在基準傅里葉變換系數集中的系數的對應范圍中的確定。

11.根據權利要求3所述的方法，其中，基于對已知惡意網絡流量的連接建立部分的傅里葉變換系數的評估來確定所述字典中的所述一個或更多個基準傅里葉變換系數集中的每一個。