[发明专利]一种基于行为分析的反弹型远控木马网络流量检测方法

权利要求书

1.一种基于行为分析的反弹型远控木马网络流量检测方法，其特征在于，包括以下步骤：

步骤一，训练木马检测模型：采集木马流量文件和正常网络业务流量文件这两种不同类型的流量文件；然后从流量文件中提取每个TCP会话的完整网络流量；再从TCP会话流量中提取包括上传与下载流量包负载长度之比、标志位PSH Flag值等于1的流量包比例、会话初始阶段的数据包数量和心跳行为标识的会话行为特征；最后将会话行为特征与流量文件类型输入到基于随机森林算法的木马检测模型中进行训练，在训练过程中调整模型中决策树的数量，直到得到识别木马流量文件和正常网络业务流量文件最为准确的木马检测模型；

步骤二，根据步骤一中得到的木马检测模型进行检测：首先监测实时网络流量，然后从流量中提取每个TCP会话的完整网络流量，再从TCP会话流量中提取会话行为特征，最后将提取到的会话行为特征输入至木马检测模型中，模型根据输入将每个TCP会话分类为木马流量或正常网络业务流量；

所述的步骤一中，会话行为特征中，上传与下载流量包负载长度之比是指一个TCP会话的上传字节总数与下载字节总数之比；标志位PSH Flag值等于1的流量包比例是指标志位PSH Flag的值为1的流量包占整个会话中流量包的比例；会话初始阶段的数据包数量是指从TCP会话建立开始的预设时间内数据包的数量；心跳行为标识是指会话中是否存在心跳行为的标识。

2.根据权利要求1所述的方法，其特征在于，所述的步骤一中，从流量文件中提取每个TCP会话的完整网络流量包括以下步骤：

将流量文件以TCP会话为单位重新组织，基于流量包中的Flag值包含SYN来判断会话开始，包含RST或FIN来判断会话结束，并从所有TCP会话中筛选出从内部网络向外部网络发起的会话，丢弃从外部网络连入的TCP会话。

3.根据权利要求1所述的方法，其特征在于，所述的步骤一中，提取会话行为特征，是通过提取源IP、源端口、目的IP、目的端口、时间戳、FLAG值、净负载字节数这7项基本属性并进行处理后得到的。

4.根据权利要求1所述的方法，其特征在于，所述的步骤一中，训练木马检测模型的步骤包括：

采用10折交叉验证的方法，将训练样本区分为训练集与验证集，在训练集上进行算法训练，用训练后的算法对验证集中的样本进行分类，并计算正确率和AUC指标，其中正确率是指被分类正确的样本数与样本总数的比值，AUC指标是指用于描绘分类器在真阳性率与假阳性率之间关系的ROC曲线下的面积；在得到正确率和AUC指标后，调整随机森林算法中决策树的个数，并取正确率和AUC指标两项指标的综合值最佳的决策树个数来作为木马检测模型的决策树个数。