[發(fā)明專利]加密惡意流量檢測方法、裝置、電子設(shè)備及存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201811462207.5
• 申請日: 2018-11-30
• 公開（公告）號: CN109379377B
• 公開（公告）日: 2020-12-08
• 發(fā)明（設(shè)計(jì)）人: 江斌
• 申請（專利權(quán)）人: 極客信安（北京）科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京睿馳通程知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11604
• 代理人: 張文平

1.一種加密惡意流量檢測方法，其特征在于，包括如下步驟：

S101：基于正常流量樣本和惡意流量樣本提取特征；

S102：將所述提取特征中適用于深度學(xué)習(xí)的第一特征輸入深度學(xué)習(xí)模型進(jìn)行訓(xùn)練，形成基于深度學(xué)習(xí)的深度檢測模型；

S103：將深度學(xué)習(xí)模型輸出的特征集輸入到機(jī)器學(xué)習(xí)模型，將所述提取特征中適用于機(jī)器學(xué)習(xí)的第二特征輸入到所述機(jī)器學(xué)習(xí)模型，形成基于機(jī)器學(xué)習(xí)的機(jī)器檢測模型；

S104：利用所述深度檢測模型和所述機(jī)器檢測模型，對真實(shí)網(wǎng)絡(luò)流量進(jìn)行檢測，最終識別出惡意流量；

所述步驟S102包括：

S1021：構(gòu)建訓(xùn)練函數(shù)模型：

i_t＝σ(W_xiX_t+W_hih_t-1+W_cC_t-1+b_i)

f_t＝σ(W_xfX_t+W_hfh_t-1+W_cfC_t-1+b_f)

O_t＝σ(W_xoX_t+W_hoh_t-1+W_coC_t-1+b_o)

C_t＝f_tC_t-1+i_ttanh(W_xcX_t+W_hch_t-1+b_c)

h_t＝O_ttanh(C_t)

其中，σ為邏輯sigmod函數(shù)，t表示神經(jīng)網(wǎng)絡(luò)迭代的次數(shù)，i、f、o、c、h分別表示輸入門、遺忘門、輸出門、單元激活向量、隱藏單元；Wxi、Whi和Wci分別表示輸入特征向量、隱藏層單元、單元激活向量與輸入門之間的權(quán)重矩陣；Wxf、Whf和Wcf分別表示輸入特征向量、隱藏層單元、單元激活向量與遺忘門之間的權(quán)重矩陣；Wxo、Who和Wco分別表示輸入特征向量、隱藏層單元、單元激活向量與輸出門之間的權(quán)重矩陣；bi、bf、bc、bo分別為輸入門、遺忘門、單元激活向量和輸出門的偏差值；

其中，sigmod函數(shù)為：

tanh函數(shù)為：

S1022：將所述第一特征輸入上述訓(xùn)練函數(shù)模型進(jìn)行迭代計(jì)算，直至輸出特征趨于穩(wěn)定，停止訓(xùn)練。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，

所述提取特征包括一致性特征、證書特征以及流行為特征。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述第一特征為流行為特征；所述第二特征為一致性特征和/或證書特征。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，步驟S103包括：

S1031：構(gòu)造決策樹樣本集合Z，其中X表示從流量提取的全部的特征集合，Y表示包含黑白流量的全部的訓(xùn)練數(shù)據(jù)，n表示決策樹數(shù)量

Z＝{(X1,Y1),(X2,Y2),(X3,X3)…(Xn,Yn)}；

S1032：對于步驟S1031中構(gòu)造的每一個(gè)數(shù)據(jù)集，通過自上而下的遞歸方式，在每個(gè)分裂節(jié)點(diǎn)處選擇訓(xùn)練子集中的特征，對每一個(gè)特征計(jì)算信息增益率，選擇增益最大的特征作為分裂屬性進(jìn)行分裂，直至所有樣本都達(dá)到葉節(jié)點(diǎn)，所述步驟S1031中的每個(gè)訓(xùn)練子集合都構(gòu)造一顆如下的決策樹

其中，yi表示任一顆決策樹的投票結(jié)果，P_i表示任一數(shù)據(jù)通過概率；

S1033：對所述步驟S1032獲得的任一決策樹進(jìn)行融合，獲得最終決策樹RF，

其中n是決策樹的數(shù)量，qi是樹的權(quán)重，yi是樹的投票結(jié)果。