[發明專利]一種惡意流量的識別方法、裝置及電子設備

在審

• 申請號: 202010574518.1
• 申請日: 2020-06-22
• 公開（公告）號: CN113901976A
• 公開（公告）日: 2022-01-07
• 發明（設計）人: 宋冰晶;劉軍
• 申請（專利權）人: 北京觀成科技有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 柳欣

本發明提供了一種惡意流量的識別方法、裝置及電子設備，其中，該方法包括：獲取待處理的目標流量，并確定目標流量中每條元數據的屬性參數；根據元數據的屬性參數生成圖像元素，根據目標流量的多個圖像元素依次排列生成與目標流量對應的單流心電圖；根據圖像分類模型對單流心電圖進行分類處理，確定目標流量是否為惡意流量。通過本發明實施例提供的惡意流量的識別方法、裝置及電子設備，將目標流量轉換為單流心電圖，該單流心電圖能夠表征通信活動在時間維度上的行為特點，從而在圖像分類時可以比較容易地提取出異常行為，并比較準確地確定惡意流量，能夠提高流量識別的準確率；且該方式可以在無證書、無域名等情況下執行，適用性強。

技術領域

本發明涉及流量識別技術領域，具體而言，涉及一種惡意流量的識別方法、裝置、電子設備及計算機可讀存儲介質。

背景技術

惡意流量是指攻擊者為攻擊特定目標而專門構造的計算機網絡流量，一般由惡意程序產生并在網絡中傳播。對于惡意流量進行準確及時地識別并采取應急處理措施，是網絡安全的一項重要任務。對于加密惡意流量的識別目前已有一些研究成果，例如利用多個監督式機器學習來檢測惡意加密流量，其分別從證書、握手、域名等方面進行檢測，對每個模型的預測得分進行加權平均來決定是否為惡意加密流量。

在實現本發明的過程中，發明人發現現有的方案中至少存在如下問題：針對無域名、無證書的情況，上述部分模型無法適用，檢測效果無法保證。

發明內容

為解決現有存在的技術問題，本發明實施例提供一種惡意流量的識別方法、裝置、電子設備及計算機可讀存儲介質。

第一方面，本發明實施例提供了一種惡意流量的識別方法，包括：

獲取待處理的目標流量，并確定所述目標流量中每條元數據的屬性參數，所述屬性參數包括消息長度、消息類型、消息序列、交互方向中的至少兩項；

根據所述元數據的屬性參數生成與所述元數據對應的圖像元素，根據所述目標流量的多個圖像元素依次排列生成與所述目標流量對應的單流心電圖；

根據預設的圖像分類模型對所述單流心電圖進行分類處理，確定所述目標流量是否為惡意流量。

第二方面，本發明實施例還提供了一種惡意流量的識別裝置，包括：

預處理模塊，用于獲取待處理的目標流量，并確定所述目標流量中每條元數據的屬性參數，所述屬性參數包括消息長度、消息類型、消息序列、交互方向中的至少兩項；

圖像生成模塊，用于根據所述元數據的屬性參數生成與所述元數據對應的圖像元素，根據所述目標流量的多個圖像元素依次排列生成與所述目標流量對應的單流心電圖；

分類模塊，用于根據預設的圖像分類模型對所述單流心電圖進行分類處理，確定所述目標流量是否為惡意流量。

第三方面，本發明實施例提供了一種電子設備，包括總線、收發器、存儲器、處理器及存儲在所述存儲器上并可在所述處理器上運行的計算機程序，所述收發器、所述存儲器和所述處理器通過所述總線相連，所述計算機程序被所述處理器執行時實現上述任意一項所述的惡意流量的識別方法中的步驟。

第四方面，本發明實施例還提供了一種計算機可讀存儲介質，其上存儲有計算機程序，所述計算機程序被處理器執行時實現上述任意一項所述的惡意流量的識別方法中的步驟。