[发明专利]基于信息熵的网络隐蔽信道的检测方法及装置

说明书

本发明公开了一种基于信息熵的网络隐蔽信道的检测方法及装置，该方法先获取待检测协议；其中，待检测协议包括：协议特征、行为特征和统计特征；计算协议特征的关键词集合与预设协议特征库的关键词集合的相似度，并提取相似度最高的关键词集合对应的真实协议；根据行为特征，计算待检测协议的第一熵值和真实协议的第二熵值，当第一、第二熵值均小于第一阈值时，则根据统计特征，计算待检测协议与真实协议的相对熵；将相对熵大于等于第二阈值的待检测协议标记为隐蔽通信协议，以便于拦截隐蔽通信协议。本发明技术方案在不依赖专家知识库的情况下实现网络隐蔽信道的检测，提高对未知的网络隐蔽信道的识别精度。

技术领域

本发明涉及隐蔽信道检测方法技术领域，尤其涉及一种基于信息熵的网络隐蔽信道的检测方法及装置。

背景技术

网络隐蔽信道为木马、间谍软件或恶意通信软件提供了掩体媒介，并利用正常网络协议来传递隐蔽信息，使得恶意软件能够规避网络通信行为的安全检测。

现有技术中，通常采用隐蔽信道的学习模型来实现网络隐蔽信道的检测，但是现有的隐蔽信道的学习模型不仅过度依赖所构建的识别体系，而且还过度依赖专家知识库的更新和维护。当所构建的识别体系出现问题时，或专家知识库未及时更新时，将无法从众多的正常网络协议中准确地检测出网络隐蔽信道；除此之外，隐蔽信道的学习模型需要从大量的网络隐蔽信道中提取网络隐蔽信道的共性特征，然而现有的网络隐蔽信道的数量众多且特征繁杂，从而导致获取网络隐蔽信道的共性特征的难度增加，又因为网络隐蔽信道的数量众多且特征繁杂的特性，难以收录一部完整的网络隐蔽信道的专家知识库，使得隐蔽信道的学习模型对未知的网络隐蔽信道的识别精度不高。

发明内容

本发明实施例提供了一种基于信息熵的网络隐蔽信道的检测方法及装置，在不依赖专家知识库的情况下实现网络隐蔽信道的检测，提高对未知的网络隐蔽信道的识别精度。

为了解决上述技术问题，本发明实施例提供了一种基于信息熵的网络隐蔽信道的检测方法，包括：

获取待检测协议；其中，所述待检测协议包括：协议特征、行为特征和统计特征；

计算所述协议特征的关键词集合与预设协议特征库的关键词集合的相似度，并从所述协议特征库中提取所述相似度最高的关键词集合对应的真实协议；

根据所述行为特征，分别计算所述待检测协议的第一熵值和所述真实协议的第二熵值，判断所述第一熵值和第二熵值是否均小于第一阈值；

若所述第一熵值和第二熵值均小于所述第一阈值，则根据所述统计特征，计算所述待检测协议与所述真实协议的相对熵；

将所述相对熵大于等于第二阈值的待检测协议标记为隐蔽通信协议，以便于拦截所述隐蔽通信协议。

作为优选方案，在判断所述第一熵值和第二熵值是否均小于第一阈值之后，还包括：

若所述第一熵值和第二熵值均大于所述第一阈值，或者所述第一熵值和第二熵值中任意一个大于所述第一阈值，则根据预设的用户策略，向用户发出告警信息、或者阻断所述待检测协议的信道、或者拦截所述待检测协议。

作为优选方案，在所述计算所述待检测协议与所述真实协议的相对熵之后，还包括：

将所述相对熵小于所述第二阈值的待检测协议标记为正常通信协议。

作为优选方案，所述计算所述协议特征的关键词集合与预设的协议特征库的关键词集合的相似度，具体为：

按照以下公式，计算获得所述协议特征的关键词集合与预设的协议特征库的关键词集合的相似度，计算方法如下：