[发明专利]一种恶意流量识别方法及系统

权利要求书

1.一种恶意流量识别方法，其特征在于，包括：

实时获取待检测的网络流量的第一流量特征，所述第一流量特征包括流特征和/或握手阶段的特征；

基于所述第一流量特征，利用第一识别模型识别所述网络流量的流量类别，得到第一识别结果；

在等待预设时长后获取所述网络流量的第二流量特征，所述第二流量特征包括CC流量的心跳行为、控制端和受控端之间的通联行为特征、加密网络流量中的行为特征和/或所述预设时长内各加密网络流量的长度方差；

基于所述第二流量特征，利用第二识别模型识别所述网络流量的流量类别，得到第二识别结果；

基于所述第一识别结果、所述第二识别结果，确定所述网络流量的第三识别结果；其中，所述第一识别结果、所述第二识别结果及所述第三识别结果分别用于表示所述网络流量的类别是否为恶意流量。

2.根据权利要求1所述的方法，其特征在于，所述网络流量为加密网络流量，所述实时获取待检测的网络流量的第一流量特征，包括：

将加密网络流量切分为至少一个流量数据单元；

提取所述至少一个流量数据单元的流特征和/或握手阶段的特征。

3.根据权利要求2所述的方法，其特征在于，所述基于所述第一流量特征，利用第一识别模型识别网络流量的流量类别，包括：

将所述至少一个流量数据单元的流特征和/或握手阶段的特征输入所述第一识别模型，得到所述第一识别模型输出的第一识别结果。

4.根据权利要求1所述的方法，其特征在于，所述网络流量为加密网络流量，所述获取所述网络流量的第二流量特征，包括：

在等待预设时长后，获取加密网络流量中的行为特征和/或所述预设时长内各加密网络流量的长度方差。

5.根据权利要求4所述的方法，其特征在于，所述基于所述第二流量特征，利用第二识别模型识别网络流量的流量类别，得到第二识别结果，包括：

将加密网络流量中的行为特征和/或所述预设时长内各加密网络流量的长度方差输入所述第二识别模型，得到所述第二识别模型输出的第二识别结果。

6.一种恶意流量识别系统，其特征在于，包括：

第一获取单元，用于实时获取待检测的网络流量的第一流量特征；

第一识别单元，用于基于所述第一流量特征，利用第一识别模型识别所述网络流量的流量类别，得到第一识别结果；

第二获取单元，用于在等待预设时长后获取所述网络流量的第二流量特征；

第二识别单元，用于基于所述第二流量特征，利用第二识别模型识别所述网络流量的流量类别，得到第二识别结果；

确定单元，用于基于所述第一识别结果、所述第二识别结果，确定所述网络流量的第三识别结果；其中，所述第一识别结果、所述第二识别结果及所述第三识别结果分别用于表示所述网络流量的类别是否为恶意流量。

7.根据权利要求6所述的系统，其特征在于，所述网络流量为加密网络流量，所述第一获取单元，具体用于：

将加密网络流量切分为至少一个流量数据单元；

提取所述至少一个流量数据单元的流特征和/或握手阶段的特征。

8.根据权利要求7所述的系统，其特征在于，所述第一识别单元，具体用于：

将所述至少一个流量数据单元的流特征和/或握手阶段的特征输入所述第一识别模型，得到所述第一识别模型输出的第一识别结果。

9.根据权利要求6所述的系统，其特征在于，所述网络流量为加密网络流量，所述第二获取单元，具体用于：

在等待预设时长后，获取加密网络流量中的行为特征和/或所述预设时长内各加密网络流量的长度方差。

10.根据权利要求9所述的系统，其特征在于，所述第二识别单元，具体用于：

将加密网络流量中的行为特征和/或所述预设时长内各加密网络流量的长度方差输入所述第二识别模型，得到所述第二识别模型输出的第二识别结果。