[發(fā)明專利]加密流量分析特征提取方法、系統(tǒng)、存儲介質、安全設備

有效

• 申請?zhí)枺?/td>: 202010038670.8
• 申請日: 2020-01-14
• 公開（公告）號: CN111277578B
• 公開（公告）日: 2022-02-22
• 發(fā)明（設計）人: 趙興文;丁瀟;李暉;朱輝;戴睿;蕭明熾
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06K9/62;G06N20/00
• 代理公司: 西安長和專利代理有限公司 61227
• 代理人: 黃偉洪

1.一種加密流量分析特征提取方法，其特征在于，所述加密流量分析特征提取方法包括以下步驟：

第一步，采集原始流量數(shù)據(jù)；

第二步，將采集的原始數(shù)據(jù)包進行預處理，過濾出加密通信的流量數(shù)據(jù)；

第三步，將流數(shù)據(jù)深度解析，生成流量解析日志，其中包括通用流日志、SSL/TLS日志、證書日志，并建立相應的調(diào)用鏈連接索引；

第四步，按照連接四元組信息和各日志中的索引信息將日志聚合，形成流特征調(diào)用鏈，并依據(jù)此調(diào)用鏈進行特征提取，形成供機器學習訓練的數(shù)據(jù)集；

第五步，確定當前環(huán)境下最優(yōu)的監(jiān)督學習分類算法，利用網(wǎng)格參數(shù)尋優(yōu)法確定最優(yōu)參數(shù)并利用十折交叉驗證法評估特征提取準確性；

所述加密流量分析特征提取方法的數(shù)據(jù)流是一組有序的，由起點和終點的數(shù)據(jù)序列，數(shù)據(jù)流由一個完整的TCP會話構成，包含了TCP三次握手到四次揮手之間所有的數(shù)據(jù)包；在一個流中，同方向的數(shù)據(jù)包的IP和端口信息一致，不同方向的數(shù)據(jù)包的IP和端口信息相反。

2.如權利要求1所述的加密流量分析特征提取方法，其特征在于，所述加密流量分析特征提取方法的基于日志記錄的形式，將流中的信息按基本流信息、SSL/TLS協(xié)議信息和證書信息分別輸出到對應的日志文件中，形成原始的數(shù)據(jù)結構，日志文件各司其職，并且可單獨溯源檢索；其中在各日志內(nèi)相應事件的記錄中，使用一串或多串特殊的HASH用于記錄調(diào)用鏈的連接索引，一個數(shù)據(jù)流對應日志中的一次事件；特征提取時，首先按照四元組信息提取通用流日志中的相關記錄，再依次按照HASH索引將所有日志進行聚合，將惡意加密流量特征進行匯總整理。

3.如權利要求1所述的加密流量分析特征提取方法，其特征在于，所述加密流量分析特征提取方法的數(shù)據(jù)流中對應節(jié)點的流量行為日志具體包括：

(1)通用流日志：請求時間、源IP地址、源端口號、目的IP地址、目的端口號、傳輸層協(xié)議、應用層協(xié)議、數(shù)據(jù)流持續(xù)時間、數(shù)據(jù)包數(shù)量、數(shù)據(jù)包時間間隔、數(shù)據(jù)包大小、載荷大小、HASH1；

(2)SSL/TLS日志：數(shù)據(jù)包時間戳、加密協(xié)議、SSL/TLS版本號、TLS密碼套件、TLS拓展長度、TLS拓展組件類型、TLS壓縮方法、是否含SNI、HASH1、HASH2；

(3)證書日志：數(shù)據(jù)包時間戳、證書主題、證書序列號、證書常用名稱、證書時間有效性、證書公鑰長度、證書簽名算法、支持域名信息、證書使用者、HASH2。

4.如權利要求1所述的加密流量分析特征提取方法，其特征在于，所述加密流量分析特征提取方法通過日志及調(diào)用鏈數(shù)據(jù)深度分析不同惡意家族類型的加密流量，找出各節(jié)點的流量特征，形成最終的數(shù)據(jù)集；依據(jù)日志分類將特征分為：流特征、SSL/TLS特征、證書特征和其他特征，具體包括：

(1)流特征：會話持續(xù)時間、數(shù)據(jù)包數(shù)量、不同方向的數(shù)據(jù)包數(shù)量、數(shù)據(jù)包時間間隔統(tǒng)計量、不同方向的數(shù)據(jù)包時間間隔統(tǒng)計量、包長統(tǒng)計量、不同方向的包長統(tǒng)計量、載荷長度統(tǒng)計量、不同方向的載荷長度統(tǒng)計量、總字節(jié)數(shù)、不同方向的總字節(jié)數(shù)，以及相應的比例；

(2)SSL/TLS特征：加密協(xié)議類型、SSL/TLS版本號、TLS使用的密碼套件、TLS拓展長度、TLS拓展組件類型、TLS壓縮方法、加密數(shù)據(jù)包統(tǒng)計量、是否包含SNI、SNI所占包的比例、SNI是IP情況下所占包的比例；

(3)證書特征：證書公鑰的統(tǒng)計量、證書有效值的統(tǒng)計量、有效證書所占證書的比例、證書的簽發(fā)者、證書使用的簽名算法、證書支持的域名信息、證書的使用者，證書是否自簽名；

(4)其他特征：加密數(shù)據(jù)包統(tǒng)計量占總數(shù)據(jù)包的比例，SSL/TLS連接時長所占數(shù)據(jù)流持續(xù)時長的比例；

所述統(tǒng)計量包括平均值、方差、最大值、最小值，不同方向包括從源地址到目的地址、從目的地址到源地址不同的方向。

5.如權利要求1所述的加密流量分析特征提取方法，其特征在于，所述加密流量分析特征提取方法的日志聚合和調(diào)用鏈將獲取到的特征信息進行有組織的鏈接整理，將一個數(shù)據(jù)流內(nèi)部的不同協(xié)議層所有節(jié)點和秘鑰交換、數(shù)據(jù)傳輸中的關鍵操作進行記錄并匯總；

所述加密流量分析特征提取方法的隨機森林算法，對數(shù)據(jù)進行分類的同時得出各個特征的重要性評分，評估各個特征在分類過程中所起到的作用，并由此調(diào)整特征權重。