[發明專利]一種基于K-S檢驗的加密代理下的挖礦流量識別方法

在審

• 申請號: 202310006129.2
• 申請日: 2023-01-04
• 公開（公告）號: CN115955357A
• 公開（公告）日: 2023-04-11
• 發明（設計）人: 胡曉艷;林伯權;程光;吳樺
• 申請（專利權）人: 東南大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 南京眾聯專利代理有限公司 32206
• 代理人: 張天哲

1.一種基于K-S檢驗的加密代理下的挖礦流量識別方法，其特征在于，包括如下步驟：

(1)加入礦池挖礦，搭建加密代理來轉發和混淆數據，收集挖礦流量，并生成挖礦流量的特征分布；

(2)將初始流量按五元組源IP，目的IP，源端口，目的端口，協議類型組流，接著過濾掉無關數據包，只保留帶有PSH標志的TCP報文；

(3)提取預處理后的報文的特征，按所設定的每個檢測單位的數據包數目生成特征分布；

(4)通過K-S檢驗將待檢測流量的特征分布與挖礦流量進行比對，根據檢驗結果實現對挖礦流量的識別。

2.根據權利要求1所述的基于K-S檢驗的加密代理下的挖礦流量識別方法，其特征在于，步驟(1)收集使用了加密代理的挖礦流量；具體包括如下子步驟：

(1.1)使用V2Ray工具搭建加密代理，來實現數據轉發、加密和混淆；

(1.2)加入Poolin礦池，挖掘以太幣和以太經典兩種加密貨幣；

(1.3)采集使用了加密代理的挖礦流量；

(1.4)生成加密代理下的挖礦流量的特征分布；

(1.5)獲取公開數據集ISCX?VPN作為實驗待測流量。

3.根據權利要求1所述的基于K-S檢驗的加密代理下的挖礦流量識別方法，其特征在于，步驟(2)具體包括如下子步驟：

(2.1)將初始流量按五元組源IP，目的IP，源端口，目的端口，協議類型組流，這一步是為了區分開使用同一代理的不同應用；

(2.2)根據挖礦流量協議特征，過濾掉無關報文，只留下帶有PSH標志的TCP報文，PSH標志位的作用是讓接收端盡快將報文交付至應用層，而挖礦的收益與時間密切相關。

4.根據權利要求1所述的基于K-S檢驗的加密代理下的挖礦流量識別方法，其特征在于，所述步驟(3)具體包括如下子步驟：

(3.1)提取數據預處理后剩余流量的報文頭部信息，包括數據包大小和數據包時間間隔特征；

(3.2)入度流量按每60個數據包為一個檢測單位，出度流量按每40個數據包為一個檢測單位，生成數據包大小和數據包時間間隔的特征分布函數。

5.根據權利要求1所述的基于K-S檢驗的加密代理下的挖礦流量識別方法，其特征在于，所述步驟(4)具體包括如下子步驟：

(4.1)將未識別的流量的特征分布函數輸入到檢測模型，使用雙樣本K-S檢驗來和已標記的挖礦流量的特征分布作比對，輸出K-S檢驗結果；

(4.2)根據K-S檢驗結果，如果未識別流量的數據包大小和時間間隔特征都與挖礦流量的特征來自同一分布，那么將該流量判定為挖礦流量，否則判定為正常流量；

(4.3)輸出模型識別結果。