[发明专利]一种恶意加密流量检测方法、系统及相关装置

权利要求书

1.一种恶意加密流量检测方法，其特征在于，包括：

获取样本流量；所述样本流量包括正常加密流量和恶意加密流量；

提取所述样本流量中的特征；所述特征包括TCP通信特征和TLS握手协议特征；

利用基于有监督学习算法的随机森林模型对所述特征进行重要性度量，整合重要性大于预设阈值的特征，得到特征集合；

利用夏普利值计算所述特征集合中各特征的特征权重，根据所述特征权重对所述特征进行排序，得到特征序列；

从所述特征序列中选取最优特征子集建立检测模型；

利用所述检测模型执行恶意加密流量检测。

2.根据权利要求1所述的恶意加密流量检测方法，其特征在于，获取样本流量包括：

利用网络流量采集工具收集正常流量数据和恶意流量数据；

从所述正常流量数据和所述恶意流量数据中筛选得到TLS加密流量数据，将所述TLS加密流量数据作为所述样本数据。

3.根据权利要求1所述的恶意加密流量检测方法，其特征在于，提取所述样本流量中的特征之后，还包括：

将字符串类型的所述TCP通信特征和所述TLS握手协议特征均转换为数字型特征，并对所有特征进行归一化处理。

4.根据权利要求1所述的恶意加密流量检测方法，其特征在于，所述利用基于有监督学习算法的随机森林模型对所述特征进行重要性度量，整合重要性大于预设阈值的特征，得到特征集合包括：

将所述特征划分为训练集和测试集；

利用基于有监督学习算法的随机森林模型对所述训练集进行测试，并利用所述测试集进行验证，确定各所述特征对应的基尼指数；

将所述基尼指数作为重要性度量，选择所述基尼指数大于预设阈值的特征，得到特征集合。

5.根据权利要求1所述的恶意加密流量检测方法，其特征在于，从所述特征序列中选取最优特征子集建立检测模型包括：

采用后向顺序搜索方式确定所述特征序列中误报率低于预设值的最优特征子集；

根据所述最优特征子集建立检测模型。

6.根据权利要求1所述的恶意加密流量检测方法，其特征在于，所述TCP通信特征包括五元组、会话时长，上行流量，下行流量，上下行流量之比，上行包数，下行包数，上下行包数之比中至少一项；

所述TLS握手协议特征包括一般握手特征、TLS指纹特征和证书特征；所述一般握手特征包括TLS版本，客户端扩展数量，服务端扩展数量，客户端密码套件数量中的至少一项，所述TLS指纹特征包括客户端指纹特征和服务端指纹特征，所述证书特征包括证书是否自签名、证书是否过期、证书链长度、电子设备证书中附带的其它站点数量中的至少一项。

7.一种恶意加密流量检测系统，其特征在于，包括：

数据获取模块，用于获取样本流量；所述样本流量包括正常加密流量和恶意加密流量；

特征提取模块，用于提取所述样本流量中的特征；所述特征包括TCP通信特征和TLS握手协议特征；

重要性度量模块，用于利用基于有监督学习算法的随机森林模型对所述特征进行重要性度量，整合重要性大于预设阈值的特征，得到特征集合；

特征权重计算模块，用于利用夏普利值计算所述特征集合中各特征的特征权重，根据所述特征权重对所述特征进行排序，得到特征序列；

模型构建模块，用于从所述特征序列中选取最优特征子集建立检测模型；

检测模块，用于利用所述检测模型执行恶意加密流量检测。

8.根据权利要求7所述的恶意加密流量检测系统，其特征在于，数据获取模块包括：

流量采集单元，用于利用网络流量采集工具收集正常流量数据和恶意流量数据；

流量筛选单元，用于从所述正常流量数据和所述恶意流量数据中筛选得到TLS加密流量数据，将所述TLS加密流量数据作为所述样本数据。