[發(fā)明專利]基于多模態(tài)深度學(xué)習(xí)的加密惡意流量檢測方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110786063.4
• 申請(qǐng)日: 2021-07-12
• 公開（公告）號(hào): CN113542259B
• 公開（公告）日: 2022-09-13
• 發(fā)明（設(shè)計(jì)）人: 金舒原;張笑天
• 申請(qǐng)（專利權(quán)）人: 中山大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;G06N3/08;G06N3/04;G06K9/62
• 代理公司: 廣州粵高專利商標(biāo)代理有限公司 44102
• 代理人: 劉俊

1.基于多模態(tài)深度學(xué)習(xí)的加密惡意流量檢測方法，其特征在于，包括以下步驟：

對(duì)加密流量數(shù)據(jù)進(jìn)行數(shù)據(jù)分割，得到加密流量數(shù)據(jù)的握手階段數(shù)據(jù)包、數(shù)據(jù)包長度序列和數(shù)據(jù)包到達(dá)的時(shí)間間隔序列；

從加密流量數(shù)據(jù)的握手階段數(shù)據(jù)包中提取握手信息特征向量；其中：

對(duì)握手階段數(shù)據(jù)包原始流量的字節(jié)數(shù)目進(jìn)行統(tǒng)計(jì)，對(duì)字節(jié)數(shù)超過N比特的報(bào)文進(jìn)行截?cái)啵瑢?duì)長度小于N字節(jié)的報(bào)文在其末尾以0x00補(bǔ)齊，然后將整形處理后的報(bào)文中各個(gè)字節(jié)解釋為0-255的整數(shù)，得到定長數(shù)字序列；

將所述定長數(shù)字序列輸入嵌入層得到數(shù)字二維矩陣，其中每個(gè)數(shù)字映射為數(shù)字二維矩陣中的一行；

將所述定長數(shù)字序列的數(shù)字二維矩陣輸入CNN模型中，CNN模型輸出握手信息特征向量；

從加密流量數(shù)據(jù)的數(shù)據(jù)包長度序列中提取包長信息序列特征向量；

從加密流量數(shù)據(jù)的數(shù)據(jù)包到達(dá)的時(shí)間間隔序列中提取包到達(dá)信息序列特征向量；

將所述握手信息特征向量、包長信息序列特征向量、包到達(dá)信息序列特征向量進(jìn)行拼接融合，得到多模態(tài)特征向量，將所述多模態(tài)特征向量輸入深度學(xué)習(xí)網(wǎng)絡(luò)模型中，得到加密流量數(shù)據(jù)的分類結(jié)果；所述分類結(jié)果包括加密惡意流量所屬惡意軟件家族類別和非加密惡意流量。

2.根據(jù)權(quán)利要求1所述的加密惡意流量檢測方法，其特征在于，從加密流量數(shù)據(jù)中提取加密流量數(shù)據(jù)的握手階段數(shù)據(jù)包的步驟包括：提取加密流量數(shù)據(jù)SSL/TLS層握手階段報(bào)文作為握手階段數(shù)據(jù)包；

從加密流量數(shù)據(jù)中提取加密流的數(shù)據(jù)包長度序列的步驟包括：對(duì)加密流數(shù)據(jù)包實(shí)施字節(jié)統(tǒng)計(jì)得到包長信息，組成數(shù)據(jù)包長度序列，或?qū)用芰鲾?shù)據(jù)包TCP包頭標(biāo)志位中提取包長信息，組成數(shù)據(jù)包長度序列；

從加密流量數(shù)據(jù)中提取數(shù)據(jù)包到達(dá)的時(shí)間間隔序列的步驟包括：通過加密流量數(shù)據(jù)中數(shù)據(jù)包的包到達(dá)時(shí)間計(jì)算得到包到達(dá)時(shí)間間隔元素，組成包到達(dá)的時(shí)間間隔序列，或采用流量分析工具獲得。

3.根據(jù)權(quán)利要求2所述的加密惡意流量檢測方法，其特征在于，所述SSL/TLS層握手階段報(bào)文包括ClientHello報(bào)文、ServerHello報(bào)文和Certificate報(bào)文。

4.根據(jù)權(quán)利要求1所述的加密惡意流量檢測方法，其特征在于，所述CNN模型包括依次連接的若干卷積層，以及最大池化層和全連接層，且所述CNN模型采用殘差網(wǎng)絡(luò)結(jié)構(gòu)。

5.根據(jù)權(quán)利要求1所述的加密惡意流量檢測方法，其特征在于，從加密流量數(shù)據(jù)的數(shù)據(jù)包長度序列中提取包長信息序列特征的步驟包括：

將所述數(shù)據(jù)包長度序列進(jìn)行截?cái)嗪吞砑訑?shù)字0操作，得到固定序列長度的數(shù)據(jù)包長度序列，然后將其輸入嵌入層中得到相應(yīng)的數(shù)字二維矩陣，其中每個(gè)數(shù)字映射為數(shù)字二維矩陣中的一行；

將所述數(shù)據(jù)包長度序列的數(shù)字二維矩陣輸入雙向GRU模型中，雙向GRU模型輸出包長信息序列特征向量。

6.根據(jù)權(quán)利要求1所述的加密惡意流量檢測方法，其特征在于，從加密流量數(shù)據(jù)的數(shù)據(jù)包到達(dá)的時(shí)間間隔序列中提取包到達(dá)信息序列特征的步驟包括：

將所述加密流量數(shù)據(jù)的數(shù)據(jù)包到達(dá)的時(shí)間間隔序列進(jìn)行截?cái)嗪吞砑訑?shù)字0操作，得到固定序列長度的數(shù)據(jù)包到達(dá)時(shí)間間隔序列，然后將其輸入嵌入層中得到相應(yīng)的數(shù)字二維矩陣，其中每個(gè)數(shù)字映射為數(shù)字二維矩陣中的一行；

將所述數(shù)據(jù)包到達(dá)時(shí)間間隔序列的數(shù)字二維矩陣輸入雙向GRU模型中，雙向GRU模型輸出包到達(dá)信息序列特征向量。

7.根據(jù)權(quán)利要求5或6所述的加密惡意流量檢測方法，其特征在于，所述雙向GRU模型包括依次連接的循環(huán)神經(jīng)網(wǎng)絡(luò)層、Attention層和全連接層，所述循環(huán)神經(jīng)網(wǎng)絡(luò)層包括多層GRU、雙向GRU、多層LSTM、雙向LSTM、RNN或雙向RNN網(wǎng)絡(luò)中的一種。