[發(fā)明專利]基于網(wǎng)絡(luò)流量多視圖融合的惡意軟件檢測方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201811030880.1
• 申請日: 2018-09-05
• 公開（公告）號: CN109117634B
• 公開（公告）日: 2020-10-23
• 發(fā)明（設(shè)計）人: 陳貞翔;沈靜雅;王閃閃;楊波;荊山;紀科
• 申請（專利權(quán)）人: 濟南大學;賽爾網(wǎng)絡(luò)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;H04L12/24;H04L29/06;H04L29/08
• 代理公司: 濟南圣達知識產(chǎn)權(quán)代理有限公司 37221
• 代理人: 黃海麗

1.基于網(wǎng)絡(luò)流量多視圖融合的惡意軟件檢測方法，其特征是，包括：

獲取網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取HTTP網(wǎng)絡(luò)流量請求頭、HTTP網(wǎng)絡(luò)流量URL字段和TCP網(wǎng)絡(luò)流量統(tǒng)計特征；

建立神經(jīng)網(wǎng)絡(luò)模型；

將網(wǎng)絡(luò)流量樣本數(shù)據(jù)的HTTP網(wǎng)絡(luò)流量請求頭、HTTP網(wǎng)絡(luò)流量URL字段和TCP網(wǎng)絡(luò)流量統(tǒng)計特征作為神經(jīng)網(wǎng)絡(luò)模型的輸入值，輸入到神經(jīng)網(wǎng)絡(luò)模型中，對神經(jīng)網(wǎng)絡(luò)模型進行訓練，得到訓練好的神經(jīng)網(wǎng)絡(luò)模型；

獲取待測網(wǎng)絡(luò)流量數(shù)據(jù)，待測網(wǎng)絡(luò)流量數(shù)據(jù)，包括：HTTP網(wǎng)絡(luò)流量請求頭、HTTP網(wǎng)絡(luò)流量URL字段和TCP網(wǎng)絡(luò)流量統(tǒng)計特征；

將待測網(wǎng)絡(luò)流量數(shù)據(jù)的HTTP網(wǎng)絡(luò)流量請求頭、HTTP網(wǎng)絡(luò)流量URL字段和TCP網(wǎng)絡(luò)流量統(tǒng)計特征輸入到訓練好的神經(jīng)網(wǎng)絡(luò)模型中，輸出檢測結(jié)果是惡意軟件還是正常軟件；

根據(jù)訓練樣本對所述神經(jīng)網(wǎng)絡(luò)模型進行訓練，確定神經(jīng)網(wǎng)絡(luò)中的權(quán)重矩陣；

使用k折交叉驗證多視圖移動惡意應(yīng)用檢測模型的準確率；

所述根據(jù)訓練樣本對所述神經(jīng)網(wǎng)絡(luò)模型進行訓練，確定神經(jīng)網(wǎng)絡(luò)中的權(quán)重矩陣的步驟為：

步驟（3-1）：選擇所述獲取網(wǎng)絡(luò)流量樣本數(shù)據(jù)處理的對應(yīng)樣本集合（Ai，Bi），其中Ai為數(shù)據(jù)、Bi為標簽；

步驟（3-2）：將步驟（3-1）中標注的每一個樣本集合送入所述神經(jīng)網(wǎng)絡(luò)模型，并計算網(wǎng)絡(luò)的實際輸出Y；

步驟（3-3）：計算預(yù)測值和實際輸出的差值，即D=Bi-Y；

步驟（3-4）：根據(jù)誤差D調(diào)整權(quán)值矩陣W；

步驟（3-5）：對每個樣本集合中的每一個樣本重復(fù)步驟（3-2）、步驟（3-3）、步驟（3-4）過程，直到誤差D不超過規(guī)定范圍；

所述使用k折交叉驗證多視圖移動惡意應(yīng)用檢測模型的準確率的步驟為：

步驟（4-1）：根據(jù)所述獲取網(wǎng)絡(luò)流量樣本數(shù)據(jù)的每個樣本集合的樣本數(shù)量確定k折交叉驗證的k值；

步驟（4-2）：由步驟（4-1）確定的k值和訓練好的神經(jīng)網(wǎng)絡(luò)模型進行k折交叉驗證；

步驟（4-3）：選取不同k值時，比較神經(jīng)網(wǎng)絡(luò)模型的各項性能指標，確定性能最優(yōu)的k值；

步驟（4-4）：由步驟（4-3）的k折交叉驗證計算出的神經(jīng)網(wǎng)絡(luò)準確率，比較得出準確率最高的神經(jīng)網(wǎng)絡(luò)；

所述神經(jīng)網(wǎng)絡(luò)模型，包括：依次連接的輸入層、隱藏層和輸出層；

所述輸入層，用于輸入HTTP網(wǎng)絡(luò)流量請求頭、HTTP網(wǎng)絡(luò)流量URL字段和TCP網(wǎng)絡(luò)流量統(tǒng)計特征；

所述隱藏層，用于提取HTTP網(wǎng)絡(luò)流量請求頭、HTTP網(wǎng)絡(luò)流量URL字段和TCP網(wǎng)絡(luò)流量統(tǒng)計特征的信息；所述隱藏層中神經(jīng)元的個數(shù)根據(jù)需求設(shè)定；

所述輸出層，用于輸出每個樣本屬于不同類別的概率；

獲取網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取HTTP網(wǎng)絡(luò)流量請求頭的具體步驟為：

獲取正常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從正常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取HTTP請求頭，得到正常的HTTP網(wǎng)絡(luò)流量的請求頭特征集；

獲取異常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從異常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取HTTP請求頭，得到異常的HTTP網(wǎng)絡(luò)流量的請求頭特征集；

將得到的正常的HTTP網(wǎng)絡(luò)流量的請求頭特征集和異常的HTTP網(wǎng)絡(luò)流量的請求頭特征集進行匯總，構(gòu)建HTTP網(wǎng)絡(luò)流量請求頭；

獲取網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取HTTP網(wǎng)絡(luò)流量URL字段的具體步驟為：

獲取正常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從正常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取URL字段，得到正常的HTTP網(wǎng)絡(luò)流量的URL字段特征集；

獲取異常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)，從異常的HTTP網(wǎng)絡(luò)流量樣本數(shù)據(jù)中提取URL字段，得到異常的HTTP網(wǎng)絡(luò)流量的URL字段特征集；

將得到的正常的HTTP網(wǎng)絡(luò)流量的URL字段特征集和異常的HTTP網(wǎng)絡(luò)流量的URL字段特征集進行匯總，構(gòu)建HTTP網(wǎng)絡(luò)流量URL字段。