[發(fā)明專利]一種基于遠(yuǎn)程桌面加密網(wǎng)絡(luò)流量模式差異的用戶行為檢測(cè)方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201911119243.6
• 申請(qǐng)日: 2019-11-15
• 公開(kāi)（公告）號(hào): CN110708341B
• 公開(kāi)（公告）日: 2020-09-29
• 發(fā)明（設(shè)計(jì)）人: 石俊崢;劉夢(mèng)嚴(yán);蔣明昊;宋嘉瑩;李鎮(zhèn);熊剛;茍高鵬;崔明鑫
• 申請(qǐng)（專利權(quán)）人: 中國(guó)科學(xué)院信息工程研究所
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08;H04L12/24;H04L12/26
• 代理公司: 北京君尚知識(shí)產(chǎn)權(quán)代理有限公司 11200
• 代理人: 余長(zhǎng)江

1.一種基于遠(yuǎn)程桌面加密網(wǎng)絡(luò)流量模式差異的用戶行為檢測(cè)方法，其步驟包括：

1)獲取遠(yuǎn)程桌面客戶端到遠(yuǎn)程桌面服務(wù)端的網(wǎng)絡(luò)流量，并將所述網(wǎng)絡(luò)流量分割成獨(dú)立的網(wǎng)絡(luò)流；

2)將每一條所述的網(wǎng)絡(luò)流分割成若干個(gè)流尖峰，并根據(jù)每個(gè)流尖峰的包長(zhǎng)序列和包到達(dá)時(shí)間序列獲取向量化后的數(shù)據(jù)集，其中，所述流尖峰是指同一條網(wǎng)絡(luò)流中相鄰的若干數(shù)據(jù)包，且所述數(shù)據(jù)包的到達(dá)時(shí)間間隔都小于閾值；

3)將所述數(shù)據(jù)集送入用戶行為檢測(cè)模型，獲取遠(yuǎn)程桌面客戶端的粗粒度行為與細(xì)粒度動(dòng)作，所述用戶行為檢測(cè)模型通過(guò)以下步驟得到：

3-1)獲取遠(yuǎn)程桌面客戶端到遠(yuǎn)程桌面服務(wù)端的帶有標(biāo)簽的樣本網(wǎng)絡(luò)流量，并將所述樣本網(wǎng)絡(luò)流量分割成獨(dú)立的網(wǎng)絡(luò)流；

3-2)將每一條所述的樣本網(wǎng)絡(luò)流分割成若干個(gè)樣本流尖峰，并根據(jù)每個(gè)樣本流尖峰的包長(zhǎng)序列和包到達(dá)時(shí)間序列獲取向量化后的樣本數(shù)據(jù)集；

3-3)將所述樣本數(shù)據(jù)集送入機(jī)器學(xué)習(xí)分類器進(jìn)行訓(xùn)練，得到用戶行為檢測(cè)模型。

2.如權(quán)利要求1所述的方法，其特征在于，將所述流量按照五元組分割成彼此獨(dú)立的網(wǎng)絡(luò)流。

3.如權(quán)利要求2所述的方法，其特征在于，所述五元組包括源IP地址、源端口號(hào)、目的IP地址、目的端口號(hào)、協(xié)議類型。

4.如權(quán)利要求1所述的方法，其特征在于，根據(jù)所述流尖峰的包長(zhǎng)序列和包到達(dá)時(shí)間序列，建立多維度統(tǒng)計(jì)特征。

5.如權(quán)利要求1所述的方法，其特征在于，將所述數(shù)據(jù)集經(jīng)過(guò)歸一化的處理后，送入至用戶行為檢測(cè)模型。

6.如權(quán)利要求1所述的方法，其特征在于，所述機(jī)器學(xué)習(xí)分類器包括邏輯回歸分類器、支持向量機(jī)分類器、梯度提升樹(shù)分類器與隨機(jī)森林分類器。

7.如權(quán)利要求1所述的方法，其特征在于，所述粗粒度行為包括閱讀文檔、編輯文檔、觀看視頻、安裝軟件、瀏覽視頻，所述細(xì)粒度動(dòng)作包括使用Word 2007、Excel 2007、Notepad++、Notepad編輯文檔。

8.一種基于遠(yuǎn)程桌面加密網(wǎng)絡(luò)流量模式差異的用戶行為檢測(cè)系統(tǒng)，包括：

1)網(wǎng)絡(luò)流量采集模塊，用以獲取遠(yuǎn)程桌面客戶端到遠(yuǎn)程桌面服務(wù)端的網(wǎng)絡(luò)流量，并將所述網(wǎng)絡(luò)流量分割成獨(dú)立的網(wǎng)絡(luò)流；

2)網(wǎng)絡(luò)流量特征提取模塊，用以將每一條所述的網(wǎng)絡(luò)流分割成若干個(gè)流尖峰，并根據(jù)每個(gè)流尖峰的包長(zhǎng)序列和包到達(dá)時(shí)間序列獲取向量化后的數(shù)據(jù)集，其中，所述流尖峰是指同一條網(wǎng)絡(luò)流中相鄰的若干數(shù)據(jù)包，且所述數(shù)據(jù)包的到達(dá)時(shí)間間隔都小于閾值；

3)用戶行為檢測(cè)模塊，用以將所述數(shù)據(jù)集送入用戶行為檢測(cè)模型，獲取遠(yuǎn)程桌面客戶端的粗粒度行為與細(xì)粒度動(dòng)作；通過(guò)以下步驟構(gòu)建用戶行為檢測(cè)模型：

3-1)獲取遠(yuǎn)程桌面客戶端到遠(yuǎn)程桌面服務(wù)端的帶有標(biāo)簽的樣本網(wǎng)絡(luò)流量，并將所述樣本網(wǎng)絡(luò)流量分割成獨(dú)立的網(wǎng)絡(luò)流；

3-2)將每一條所述的樣本網(wǎng)絡(luò)流分割成若干個(gè)樣本流尖峰，并根據(jù)每個(gè)樣本流尖峰的包長(zhǎng)序列和包到達(dá)時(shí)間序列獲取向量化后的樣本數(shù)據(jù)集；

3-3)將所述樣本數(shù)據(jù)集送入機(jī)器學(xué)習(xí)分類器進(jìn)行訓(xùn)練，得到用戶行為檢測(cè)模型。