[发明专利]基于可信度的网络恶意行为检测方法

权利要求书

1.基于可信度的网络恶意行为检测方法，其特征在于该方法包括如下步骤：

第1步、基本概念：

(1)网络恶意行为：是指以数据包为载体的，在未明确提示用户或未经用户许可的情况下，通过网络对用户计算机或其他终端进行的、侵犯用户合法权益的恶意行为；大量的网络恶意行为的集合为网络恶意行为集合；

(2)不一致性度量函数：描述一个样本与一组样本的不一致性，输入是一组样本和一个测试样本，输出是一个数值，也叫做不一致性得分，得分越高，说明样本与该组样本越不一致，得分越低，说明样本与该组样本越一致；

(3)统计量p-value：描述一个样本的不一致性得分在一组样本中的百分位，取值范围在0到1之间，从统计的角度刻画一个样本与一组样本的相似性；

第2步、网络行为特征的提取

第2.1、确定网络行为的表示粒度，其中包括：数据包级粒度，NetFlow级粒度和应用级粒度；

数据包级粒度，每个数据包表示一个网络行为；NetFlow级粒度，一个网络连接过程的所有网络数据表示一个网络行为；应用级粒度，一个应用过程的所有数据包表示一个网络行为；

第2.2、选择网络行为的特征点f；根据不同的数据集，选择不同的网络行为特征点f；

第2.3、提取特征点，将网络行为抽象成特征向量V；在可选网络行为特征点中，选择n个特征点组成特征向量V(f₁,f₂,...f_n)，使用所选的n个特征点作为网络行为的抽象表示，将二进制的网络数据映射成特征点组成的特征向量V(f₁,f₂,...f_n)；

第2.4、网络恶意行为集合的特征矩阵表示；网络恶意行为集合中包含了m个网络恶意行为，每个网络恶意行为都使用第2.3步中相同结构的特征向量表示，结构相同的特征向量组合成m行n列的网络恶意行为特征矩阵C；网络恶意行为特征矩阵C的每一行表示一个网络恶意行为的特征向量，一共有m行；网络恶意行为特征矩阵C的每一列表示一个特征点，一共有n列；

第3步、网络行为与网络恶意行为一致性度量

第3.1、确定不一致性度量函数A(V,C)；不一致性度量函数的输入是网络行为特征向量V，网络恶意行为特征矩阵C，返回值是V与C的不一致得分s；不一致性度量函数A为任何能够表示不一致性的函数；

第3.2、计算网络行为特征向量V和网络恶意行为特征矩阵C中向量的不一致性得分；将被检测的网络行为特征向量V放入网络恶意行为特征矩阵C中作为最后一个向量，组成新的特征矩阵C'；新的特征矩阵C'共有m+1个特征向量；依次从C'中取出特征向量V_i，使用不一致性度量函数计算特征向量V_i与取出V_i后的特征矩阵的不一致性得分s_i，i＝1，2，……，m+1；最后，所有的m+1个向量都计算出不一致性得分；

第3.3、计算网络行为特征向量V相对于网络恶意行为特征矩阵C的统计量p-value；在第3.2步的计算中，网络行为特征向量V与网络恶意行为特征矩阵C的不一致性得分为s_n+1；统计所有不一致性得分大于等于s_m+1的特征向量的个数，并除以总向量个数m+1，得到网络行为特征向量V相对于网络恶意行为特征矩阵C的统计量p-value；

第4步、基于可信度的网络恶意行为检测

第4.1、用户给出可接受的可信度Conf；用户只接受准确率在Conf之上的检测结果；

第4.2、计算可接受的最大错误率1-Conf；

第4.3、如果网络行为特征向量V的p-value大于等于1-Conf，则预测该网络行为是网络恶意行为，这一预测的可信度为Conf；否则，报告该网络行为不是恶意行为。

2.根据权利要求1所述的方法，其特征在于第2.2步所述根据不同的数据集选择不同的网络行为特征点f指：

与时间相关的特征点包括：时间戳、持续时间、间隔时间、周期和频率；与体积相关的特征点包括：发送数据包数、接收数据包数、发送字节数、接收字节数和数据熵；与协议相关的特征点包括：TCP、UDP、HTTP、DNS和SSH；与拓扑结构相关的特征点包括：源IP地址、目的IP地址、源端口号、目的端口号、端口号的分布和端口号集合的熵。

3.根据权利要求1所述的方法，其特征在于第3.1步所述不一致性度量函数A(V,C)为距离函数，计算网络行为特征向量V与网络恶意行为特征矩阵C的距离作为不一致得分。