[發明專利]惡意流量識別方法、裝置、設備和存儲介質

有效

• 申請號: 202111117806.5
• 申請日: 2021-09-23
• 公開（公告）號: CN113992349B
• 公開（公告）日: 2023-05-19
• 發明（設計）人: 馮濤;鄭娟
• 申請（專利權）人: 云南財經大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京知果之信知識產權代理有限公司 11541
• 代理人: 高科;李志剛

1.一種惡意流量識別方法，其特征在于，包括：

構建加密流量軌跡圖；

構建加密流量軌跡圖，包括：

獲取服務器和客戶端之間的網絡流；

對于任意的一條網絡流，確定所述網絡流的五元組內容與統計特征；

所述五元組內容包括：源/目的IP地址；

根據每個網絡流的源/目的IP地址，采用以下的公式構建加密流量軌跡圖：

G_etdw＝(V，A，W)；

其中，V表示由圖中節點{v₁,...,v_n}組成的節點集合；

節點v_i代表第i條加密網絡流；1≤i≤n；

鄰接矩陣A＝(a_ij)_n×n，a_ij＝1表示節點v_i與節點v_j之間具有公共IP地址；

權重矩陣W＝(w_ij)_n×n，w_ij表示網絡流i和網絡流j之間的權重；

通過特征提取模型獲取所述加密流量軌跡圖中的每個節點的向量；獲取所述加密流量軌跡圖中的每個節點的向量，包括：采用GCN網絡獲取每個節點的向量；其中，在GCN網絡中，設置每一層的輸出尺寸與輸入尺寸一致，并且將層間的待訓練線性變換權重矩陣設置為單位矩陣；

將每個節點的向量輸入到流量檢測模型得到每個節點的節點類型；

所述節點類型包括：惡意流量或者正常流量。

2.根據權利要求1所述的惡意流量識別方法，其特征在于，所述統計特征包括：所述網絡流的持續時間、從服務器傳輸到客戶端的數據包數、從客戶端傳輸到服務器的數據包數、從服務器傳輸到客戶端的總字節數、從客戶端傳輸到服務器的總字節數。

3.根據權利要求1所述的惡意流量識別方法，其特征在于，所述輸出尺寸和輸入尺寸等于統計特征的數量。

4.根據權利要求1所述的惡意流量識別方法，其特征在于，所述流量檢測模型為決策樹模型。

5.一種惡意流量識別裝置，其特征在于，包括：

流量軌跡圖構建模塊，用于構建加密流量軌跡圖；

所述流量軌跡圖構建模塊還用于：

獲取服務器和客戶端之間的網絡流；

對于任意的一條網絡流，確定所述網絡流的五元組內容與統計特征；

所述五元組內容包括：源/目的IP地址；

根據每個網絡流的源/目的IP地址，采用以下的公式構建加密流量軌跡圖：

G_etdw＝(V，A，W)；

其中，V表示由圖中節點{v₁,...,v_n}組成的節點集合；

節點v_i代表第i條加密網絡流；1≤i≤n；

鄰接矩陣A＝(a_ij)_n×n，a_ij＝1表示節點v_i與節點v_j之間具有公共IP地址；

權重矩陣W＝(w_ij)_n×n，w_ij表示網絡流i和網絡流j之間的權重；

向量獲取模塊，用于通過特征提取模型獲取所述加密流量軌跡圖中的每個節點的向量；

獲取所述加密流量軌跡圖中的每個節點的向量，包括：采用GCN網絡獲取每個節點的向量；其中，在GCN網絡中，設置每一層的輸出尺寸與輸入尺寸一致，并且將層間的待訓練線性變換權重矩陣設置為單位矩陣；

類型檢測模塊，用于將每個節點的向量輸入到流量檢測模型得到每個節點的節點類型；所述節點類型包括：惡意流量或者正常流量。

6.一種電子設備，其特征在于，包括：至少一個處理器和至少一個存儲器；所述存儲器用于存儲一個或多個程序指令；所述處理器，用于運行一個或多個程序指令，用以執行如權利要求1-4任一項所述的方法。

7.一種計算機可讀存儲介質，其特征在于，計算機可讀存儲介質中包含一個或多個程序指令，所述一個或多個程序指令用于執行如權利要求1-4任一項所述的方法。