[發明專利]一種多分類器自適應融合的HTTPS加密流量分類方法

有效

• 申請號: 202110306256.5
• 申請日: 2021-03-23
• 公開（公告）號: CN113141349B
• 公開（公告）日: 2022-07-15
• 發明（設計）人: 陳鐵明;呼延東鐸;蔣建可;宋琪杰;顧國民
• 申請（專利權）人: 浙江工業大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L47/2441;G06K9/62;G06F21/60;H04L67/02
• 代理公司: 杭州斯可睿專利事務所有限公司 33241
• 代理人: 王利強

一種基于多分類器自適應融合的HTTPS加密流量分類方法，選擇了HTTPS連接中常見的連接特征、SSL特征、證書特征等三類特征，對于不同特征分別使用不同的分量分類器進行訓練并最終將分量分類器進行融合，與每個分量分類器相比，融合分類器擁有更高的分類精度和分類效果。同時，分量分類器融合權重也不是人為設置或根據分量分類器性能進行設置，而是根據訓練樣本中三類特征相對于各個類別的不同相關性而進行動態權值設置，可以更好的提高融合分類器的分類精度和分類效果。

技術領域

本發明涉及網絡安全相關技術領域，具體而言，涉及一種HTTPS網絡流量分類方法。

背景技術

隨著互聯網的廣泛應用，數據安全保護顯得尤為重要。為了解決這一問題，HTTPS協議在HTTP協議的基礎上結合了SSL/TLS協議，通過建立安全通道線路對HTTP協議內容進行加密傳輸，防止通信內容被竊聽或篡改。截至今日，超過65％的網絡流量已經使用HTTPS加密協議進行傳輸。伴隨著HTTPS的廣泛使用，針對HTTPS協議的惡意流量攻擊頁層出不窮，如SSL劫持攻擊、HTTPS Flood攻擊等，不同的攻擊方式對應的防御方式也有所不同。因此，需要對攻擊進行檢測分類，針對不同類型攻擊采取不同防御手段。

但是，HTTPS協議在保護隱私的同時，也讓對惡意流量的檢測分類變得困難。傳統的檢測方法需要通過安裝HTTPS攔截代理對加密流量進行解密后使用經典檢測方法進行流量檢測、分類。不過這一檢測方式效率不高。

如果不對HTTPS進行解密操作，而是通過流量包深度解析方式的方式對HTTPS流量進行提取，可以發現HTTPS流量數據包含多種特征，這些特征總體上可以分為連接特征、SSL特征、證書特征等。不同類型的攻擊在特定特征空間內可能區分很好，而在其他特征空間很難甚至無法進行區分。而通常我們并不清楚應該選擇哪類特征，因此在面對如此多的特征時，通常的做法是將所有特征組合成特征向量，然后根據某些特征選擇方法進行特征選擇，進而使用分類器實現分類。但是這樣做會帶來一些列問題，如特征爆炸，不同特征的歸一化問題，分類器選擇困難等。因此，可以充分利用不同分類器的有點和實用性，采取多模型融合的方式對其進行分類。

在多分類器加權融合的研究中，主要包括平均加權融合和基于識別性能的的加權融合。平均加權融合中各分類器具有相同的權值，無法體現出不同分類器所對應特征的重要程度；基于識別性能的融合基于模型訓練結果賦予其不同的權值，但是當某一分類樣本過少時容易出現權值誤差。

發明內容

為了克服現有技術的不足，本發明提出一種多分類器自適應權值融合的HTTPS加密流量分類方法，提高HTTPS加密流量分類的準確度。

本發明提供的技術方案是：

一種多分類器自適應融合的HTTPS加密流量分類方法，包括以下步驟：

步驟1、獲取關于HTTPS惡意攻擊流量的數據集，進行解析并構建連接4元組，即源IP、目標IP、目標端口和協議；

步驟2，基于步驟1所提取的數據集進行隨機化后提取訓練樣本和測試樣本的特征，包括連接特征、SSL特征和證書特征；

步驟3，以步驟2所得分量訓練子數據集和分量測試子數據集訓練樣本訓練并調整分量分類器參數直到分量分類器達到一個較好的效果，然后采用訓練后的分量分類器對步驟2所得待測子數據集S′_t進行分類；所述分量分類器包括基于一對多構建的SVM分類器、基于決策樹的分類器、基于k最近鄰算法KNN的分類器；