[發明專利]一種基于機器學習的惡意加密流量識別方法

有效

• 申請號: 201810499683.8
• 申請日: 2018-05-23
• 公開（公告）號: CN108833360B
• 公開（公告）日: 2019-11-08
• 發明（設計）人: 方勇;許益家;鄭榮鋒;李揚
• 申請（專利權）人: 四川大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 莎日娜

1.一種基于機器學習的惡意加密流量識別方法，其特征在于所述方法包括如下步驟：

A、在數據采集層，采集大量數據流樣本，所采集的數據流皆為加密流量，且惡意加密流量與正常流量的數量比例為1:5，在此基礎上提取出其中具有優秀品質的流量作為樣本，而“優秀品質的流量”定義為：數據流總數據包數在20到1000之間，數據流中攜帶著信息，數據流是一個完整的雙向流而不是單向流；

B、在統計性特征提取層，獲取流量樣本，提取出流量的統計性特征，流量的統計性特征主要包括4種應用層載荷信息統計性特征：比特值分布、比特值頻率比、字節比較值、字符頻數統計，以及28種傳輸層統計性特征：上行總包數、上行總字節數、下行總包數、下行總字節數、最小上行包長度、最大上行包長度、平均上行包長度、上行包長標準差、最小下行包長度、最大下行包長度、平均下行包長度、下行包長標準差、最小上行包時間間隔、最大上行包時間間隔、平均上行包時間間隔、上行包時間間隔標準差、最小下行包時間間隔、最大下行包時間間隔、平均下行包時間間隔、下行包時間間隔標準差、平均包到達時間間隔、平均包時間間隔標準差、上行包PSH標記數量、下行包PSH標記數量、上行包URG標記數量、下行包URG標記數量、每秒到達的包數、每秒到達的字節數；

C、在建模數據備份層，將提取出的流統計性特征作為建模數據進行備份；

D、在機器學習模型層，獲取建模數據，建模數據來源于統計性特征提取層或建模數據備份層，然后使用隨機森林算法進行模型建立，設置隨機森林內決策樹建立的個數為100，特征子集的大小為特征集大小的平方根，最后以建模數據作為輸入，調整參數，建立隨機森林模型；

E、在模型識別層，提取所需識別數據流量的統計性特征，特征要求如步驟B所述，將提取出的特征作為輸入傳遞給所建立的隨機森林模型，最后模型返回識別結果，判斷該流量是否屬于惡意流量。