[發(fā)明專利]一種識(shí)別加密流量的方法、裝置及電子設(shè)備

在審

• 申請(qǐng)?zhí)枺?/td>: 202210134010.9
• 申請(qǐng)日: 2022-02-14
• 公開(kāi)（公告）號(hào): CN116647348A
• 公開(kāi)（公告）日: 2023-08-25
• 發(fā)明（設(shè)計(jì)）人: 呂麗霞;李波
• 申請(qǐng)（專利權(quán)）人: 北京觀成科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;G06F18/2433;G06F18/214
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 潘紅

1.一種識(shí)別加密流量的方法，其特征在于，包括：

獲取設(shè)有標(biāo)簽的樣本網(wǎng)絡(luò)流，所述樣本網(wǎng)絡(luò)流包括多個(gè)具有相同的客戶端屬性和服務(wù)端屬性的加密流量，所述樣本網(wǎng)絡(luò)流的標(biāo)簽用于表示所述樣本網(wǎng)絡(luò)流正?；驉阂?；

確定所述樣本網(wǎng)絡(luò)流的點(diǎn)特征，所述點(diǎn)特征包括所述樣本網(wǎng)絡(luò)流的客戶端特征和服務(wù)端特征；

對(duì)所述樣本網(wǎng)絡(luò)流中多條加密流量對(duì)應(yīng)的客戶端與服務(wù)端之間的行為特征進(jìn)行統(tǒng)計(jì)，生成所述樣本網(wǎng)絡(luò)流的邊特征；

基于多個(gè)所述樣本網(wǎng)絡(luò)流的點(diǎn)特征和邊特征對(duì)預(yù)設(shè)模型進(jìn)行訓(xùn)練，生成能夠識(shí)別包含至少一條加密流量的網(wǎng)絡(luò)流是否惡意的識(shí)別模型。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，

所述客戶端特征包括客戶端IP和/或客戶端的指紋特征；

所述服務(wù)端特征包括服務(wù)端IP，或者包括服務(wù)端IP和服務(wù)端端口。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述對(duì)所述樣本網(wǎng)絡(luò)流中多條加密流量對(duì)應(yīng)的客戶端與服務(wù)端之間的行為特征進(jìn)行統(tǒng)計(jì)，生成所述樣本網(wǎng)絡(luò)流的邊特征，包括：

確定所述樣本網(wǎng)絡(luò)流中每條加密流量對(duì)應(yīng)的客戶端與服務(wù)端之間的、與應(yīng)用數(shù)據(jù)消息相關(guān)的行為特征，所述行為特征包括應(yīng)用數(shù)據(jù)消息時(shí)間間隔、應(yīng)用數(shù)據(jù)消息數(shù)量和應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)；

對(duì)所述樣本網(wǎng)絡(luò)流中多個(gè)加密流量的所述行為特征進(jìn)行統(tǒng)計(jì)處理，生成所述樣本網(wǎng)絡(luò)流的邊特征；所述邊特征包括對(duì)所述應(yīng)用數(shù)據(jù)消息時(shí)間間隔進(jìn)行統(tǒng)計(jì)所確定的時(shí)間特征、對(duì)所述應(yīng)用數(shù)據(jù)消息數(shù)量進(jìn)行統(tǒng)計(jì)所確定的數(shù)量特征和對(duì)所述應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)進(jìn)行統(tǒng)計(jì)所確定的長(zhǎng)度特征。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述對(duì)所述樣本網(wǎng)絡(luò)流中多個(gè)加密流量的所述行為特征進(jìn)行統(tǒng)計(jì)處理，生成所述樣本網(wǎng)絡(luò)流的邊特征，包括：

對(duì)所述樣本網(wǎng)絡(luò)流中多個(gè)加密流量的應(yīng)用數(shù)據(jù)消息時(shí)間間隔進(jìn)行統(tǒng)計(jì)處理，生成所述樣本網(wǎng)絡(luò)流的時(shí)間特征；所述時(shí)間特征包括：由多個(gè)加密流量的應(yīng)用數(shù)據(jù)消息時(shí)間間隔所確定的應(yīng)用數(shù)據(jù)消息時(shí)間間隔最值、應(yīng)用數(shù)據(jù)消息時(shí)間間隔均值、應(yīng)用數(shù)據(jù)消息時(shí)間間隔標(biāo)準(zhǔn)差以及所述應(yīng)用數(shù)據(jù)消息時(shí)間間隔最值與所述應(yīng)用數(shù)據(jù)消息時(shí)間間隔均值的比值；

對(duì)所述樣本網(wǎng)絡(luò)流中多個(gè)加密流量的應(yīng)用數(shù)據(jù)消息數(shù)量進(jìn)行統(tǒng)計(jì)處理，生成所述樣本網(wǎng)絡(luò)流的數(shù)量特征；所述數(shù)量特征包括：由多個(gè)加密流量的應(yīng)用數(shù)據(jù)消息數(shù)量所確定的應(yīng)用數(shù)據(jù)消息數(shù)量最值、應(yīng)用數(shù)據(jù)消息總數(shù)量、應(yīng)用數(shù)據(jù)消息數(shù)量均值、應(yīng)用數(shù)據(jù)消息數(shù)量標(biāo)準(zhǔn)差以及所述應(yīng)用數(shù)據(jù)消息數(shù)量最值與相應(yīng)的所述應(yīng)用數(shù)據(jù)消息總數(shù)量的比值；

對(duì)所述樣本網(wǎng)絡(luò)流中多個(gè)加密流量的應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)進(jìn)行統(tǒng)計(jì)處理，生成所述樣本網(wǎng)絡(luò)流的長(zhǎng)度特征；所述長(zhǎng)度特征包括：由多個(gè)加密流量的應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)所確定的應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)最值、應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)總數(shù)量、應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)均值、應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)標(biāo)準(zhǔn)差以及所述應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)最值與相應(yīng)的所述應(yīng)用數(shù)據(jù)消息字節(jié)數(shù)總數(shù)量的比值。