[發(fā)明專利]一種軟投票策略的加密惡意流量檢測方法

有效

• 申請?zhí)枺?/td>: 202210330082.0
• 申請日: 2022-03-28
• 公開（公告）號: CN114785563B
• 公開（公告）日: 2023-06-06
• 發(fā)明（設(shè)計(jì)）人: 霍躍華;趙法起;李曉宇
• 申請（專利權(quán)）人: 中國礦業(yè)大學(xué)（北京）
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;H04L41/147;G06N20/00;G06F18/214;G06F18/2431
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種軟投票策略的加密惡意流量檢測方法，其特征在于，包括以下步驟：

步驟一，捕獲流量包，構(gòu)建原始流量數(shù)據(jù)集；

步驟二，過濾原始流量數(shù)據(jù)集中IP校驗(yàn)和無效的流量，并打上惡意/良性標(biāo)簽；

步驟三，解析流量包，進(jìn)行特征提取，提取流級特征、連接特征、TLS握手特征和X.509證書特征，并采用流指紋組合每條流量的不同特征；

步驟四，將所述流級特征和連接特征通過流指紋組合，構(gòu)成流特征子集，所述TLS握手特征和X.509證書特征通過流指紋組合，構(gòu)成TLS特征子集，并將所述流特征子集進(jìn)行標(biāo)準(zhǔn)化，得到標(biāo)準(zhǔn)流特征子集，將所述TLS特征子集采用ont-hot方式進(jìn)行編碼，

得到稀疏TLS特征子集；

步驟五，采用特征重要性評估法和主成分分析法分別對標(biāo)準(zhǔn)流特征子集和稀疏TLS特征子集進(jìn)行特征降維；

步驟六，采用流指紋組合降維后的標(biāo)準(zhǔn)流特征子集和稀疏TLS特征子集，并添加一個TLS流的標(biāo)注特征，得到特征集X；將特征集X與標(biāo)簽值Y構(gòu)成樣本集T，并將T劃分為訓(xùn)練集和測試集；

步驟七，建立投票器模型，所述投票器模型包括決策樹分類器、K近鄰分類器、樸素貝葉斯分類器、極限隨機(jī)樹分類器和GBDT分類器；采用網(wǎng)格搜索法和控制變量法對投票器模型進(jìn)行參數(shù)調(diào)節(jié)，采用層次分析法確定每一個投票器模型的權(quán)重ω_i，所有投票器模型的權(quán)重組成權(quán)重矩陣ω；

步驟八，根據(jù)權(quán)重矩陣ω采用加權(quán)策略組合投票器模型，建立基于軟投票策略的多模型加權(quán)投票(SWVC)檢測模型；所述SWVC檢測模型的訓(xùn)練過程包括：每一個投票器模型獨(dú)立的訓(xùn)練所有訓(xùn)練集樣本，訓(xùn)練后分別輸出每一個樣本為惡意樣本和良性樣本的概率值；通過權(quán)重矩陣ω對每一個投票器模型的輸出進(jìn)行加權(quán)求和，得到每一個樣本為惡意樣本和良性樣本的加權(quán)概率值；取兩個加權(quán)概率值中較大數(shù)值所屬的類別作為樣本的預(yù)測類別；

步驟九，將訓(xùn)練集輸入SWVC檢測模型進(jìn)行訓(xùn)練，將測試集輸入訓(xùn)練完成的SWVC檢測模型進(jìn)行預(yù)測，并使用準(zhǔn)確率、F₁分?jǐn)?shù)和誤報(bào)率3個指標(biāo)對檢測模型進(jìn)行評估，所述F₁分?jǐn)?shù)是精確率和召回率的調(diào)和平均數(shù)。

2.如權(quán)利要求1所述的一種軟投票策略的加密惡意流量檢測方法，其特征在于，所提取的流級特征、連接特征、TLS握手特征和X.509證書特征包括：

流級特征，包括流的特征和到達(dá)過程；連接特征，包括跟蹤TCP/UDP建立連接的過程；

TLS握手特征，包括TLS握手過程中的Client?Hello和Server?Hello部分；X.509證書特征，包括TLS的證書校驗(yàn)過程。

3.如權(quán)利要求1所述的一種軟投票策略的加密惡意流量檢測方法，其特征在于，所述TLS流的標(biāo)注特征包括：

將TLS握手過程中產(chǎn)生的TLS版本號特征作為一個TLS流的標(biāo)識，標(biāo)識由4個維度的稀疏矩陣構(gòu)成，用于表示TLS加密流量的4個版本號，包括SSL3.0/TLS1.0/TLS1.1/TLS1.2。

4.如權(quán)利要求1所述的一種軟投票策略的加密惡意流量檢測方法，其特征在于，所述投票器模型的建立和參數(shù)調(diào)節(jié)包括：

投票器模型由決策樹分類器、K近鄰分類器、高斯樸素貝葉斯分類器、極限隨機(jī)樹分類器和GBDT分類器組成，采用控制變量法對決策樹分類器、K近鄰分類器和極限隨機(jī)樹分類器模型進(jìn)行參數(shù)調(diào)節(jié)；采用網(wǎng)格尋優(yōu)法對GBDT分類器和高斯樸素貝葉斯分類器模型進(jìn)行參數(shù)調(diào)節(jié)。

5.如權(quán)利要求1所述的一種軟投票策略的加密惡意流量檢測方法，其特征在于，所述決策樹分類器、K近鄰分類器、樸素貝葉斯分類器、極限隨機(jī)樹分類器和GBDT分類器所對應(yīng)的權(quán)重矩陣ω＝[0.2491，0.1243，0.0501，0.3293，0.2472]。