[發(fā)明專利]加密流量分類模型構(gòu)建方法、惡意流量識(shí)別方法及終端

在審

• 申請(qǐng)?zhí)枺?/td>: 202310427562.3
• 申請(qǐng)日: 2023-04-20
• 公開（公告）號(hào): CN116319064A
• 公開（公告）日: 2023-06-23
• 發(fā)明（設(shè)計(jì)）人: 潘宣辰;章康;張傳學(xué);陳家林
• 申請(qǐng)（專利權(quán)）人: 武漢安天信息技術(shù)有限責(zé)任公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L43/04;H04L43/026;G06N20/20
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種加密流量分類模型構(gòu)建方法，其特征在于，包括：

對(duì)若干加密流量樣本數(shù)據(jù)進(jìn)行特征提取，得到所述若干加密流量的特征集；每個(gè)加密流量通過標(biāo)簽進(jìn)行標(biāo)注，所述標(biāo)簽包括惡意和非惡意；

對(duì)每個(gè)加密流量的特征集進(jìn)行特征工程，得到所述每個(gè)加密流量的衍生特征集；

根據(jù)若干加密流量的特征集和衍生特征集以及標(biāo)簽分別對(duì)多個(gè)預(yù)設(shè)AI模型進(jìn)行訓(xùn)練，得到多個(gè)加密流量分類模型，每個(gè)加密流量分類模型的輸出為每個(gè)加密流量為惡意加密流量的預(yù)測(cè)概率；其中，所述多個(gè)預(yù)設(shè)AI模型為不同AI模型。

2.根據(jù)權(quán)利要求1所述方法，其特征在于，所述加密流量的特征集包括如下至少一種：流特征子集、SSL/TLS特征子集、證書特征子集、域名特征子集、其他特征子集。

3.根據(jù)權(quán)利要求1或2所述方法，其特征在于，所述對(duì)每個(gè)加密流量的特征集進(jìn)行特征工程，得到所述每個(gè)加密流量的衍生特征集，包括如下至少一種：

利用特征擴(kuò)展對(duì)所述每個(gè)加密流量的特征集中的特征進(jìn)行擴(kuò)展，得到所述每個(gè)加密流量的衍生特征；

利用特征合成對(duì)所述每個(gè)加密流量的特征集中的特征進(jìn)行合成，得到所述每個(gè)加密流量的衍生特征；

利用特征組合對(duì)所述每個(gè)加密流量的特征集中的特征進(jìn)行組合，得到所述每個(gè)加密流量的衍生特征。

4.根據(jù)權(quán)利要求1-3所述方法，其特征在于，所述根據(jù)若干加密流量的特征集和衍生特征集以及標(biāo)簽分別對(duì)多個(gè)預(yù)設(shè)AI模型進(jìn)行訓(xùn)練，得到多個(gè)加密流量分類模型之前，還包括：

將若干加密流量的特征集和衍生特征集以及每個(gè)加密流量的標(biāo)簽輸入預(yù)設(shè)學(xué)習(xí)模型進(jìn)行訓(xùn)練，得到所述特征集中每個(gè)特征的重要度和所述衍生特征集中每個(gè)衍生特征的重要度；

基于所述每個(gè)特征的重要度，將所述特征集中重要度小于第一閾值的特征進(jìn)行過濾；

基于所述每個(gè)衍生特征的重要度，將所述衍生特征集中重要度小于第二閾值的衍生特征進(jìn)行過濾。

5.根據(jù)權(quán)利要求1-4任一項(xiàng)所述方法，其特征在于，所述根據(jù)若干加密流量的特征集和衍生特征集以及標(biāo)簽分別對(duì)多個(gè)預(yù)設(shè)AI模型進(jìn)行訓(xùn)練，得到多個(gè)加密流量分類模型，包括；

利用若干加密流量的特征集和衍生特征集以及每個(gè)加密流量的標(biāo)簽分別訓(xùn)練所述多個(gè)預(yù)設(shè)AI模型；

當(dāng)每個(gè)預(yù)設(shè)AI模型訓(xùn)練達(dá)到預(yù)設(shè)條件時(shí)，停止訓(xùn)練所述每個(gè)預(yù)設(shè)AI模型，得到多個(gè)加密流量分類模型。

6.一種惡意加密流量識(shí)別方法，其特征在于，包括：

對(duì)目標(biāo)加密流量數(shù)據(jù)進(jìn)行特征提取，得到所述目標(biāo)加密流量的特征集；

對(duì)所述目標(biāo)加密流量的特征集進(jìn)行特征工程，得到所述目標(biāo)加密流量的衍生特征集；

將所述目標(biāo)加密流量的特征集和衍生特征集輸入加密流量分類模型進(jìn)行檢測(cè)，確定所述目標(biāo)加密流量是否為惡意加密流量；其中，所述加密流量分類模型根據(jù)如權(quán)利要求1-5中任一項(xiàng)所述的方法得到。

7.根據(jù)權(quán)利要求6所述方法，其特征在于，所述將所述目標(biāo)加密流量的特征集和衍生特征集輸入加密流量分類模型進(jìn)行檢測(cè)，確定所述目標(biāo)加密流量是否為惡意加密流量，包括：

將所述目標(biāo)加密流量的特征集和衍生特征集分別輸入多個(gè)加密流量分類模型，得到多個(gè)所述目標(biāo)加密流量為惡意加密流量的預(yù)測(cè)概率；

計(jì)算所述目標(biāo)加密流量每個(gè)加密流量分類模型的預(yù)測(cè)概率與所述每個(gè)加密流量分類模型對(duì)應(yīng)的預(yù)設(shè)權(quán)重值相乘之和，作為所述目標(biāo)加密流量為惡意加密流量的概率；

當(dāng)所述概率大于或等于第三預(yù)設(shè)閾值，則確定所述目標(biāo)加密流量為惡意加密流量。

8.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，所述計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1至5中任一項(xiàng)所述方法或如權(quán)利要求6至7中任一項(xiàng)所述方法。

9.一種終端，包括存儲(chǔ)器、處理器以及存儲(chǔ)在所述存儲(chǔ)器中并可在所述處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述計(jì)算機(jī)程序時(shí)實(shí)現(xiàn)如權(quán)利要求1至5中任一項(xiàng)所述方法或如權(quán)利要求6至7中任一項(xiàng)所述方法。