[发明专利]基于网络行为特征的暗网加密应用服务识别方法及系统

说明书

本发明提供了基于网络行为特征的暗网加密应用服务识别方法及系统，包括：步骤1、采集历史一段时间内明网与暗网的应用流量数据，并根据五元组信息标注出对应的应用服务，作为训练集；步骤2、以应用流量数据的五元组作为关键值对会话进行解析，提取会话特征；步骤3、提取源IP及目的地址对应的行为特征，构建IP行为特征；步骤4、按相同的源IP地址，将IP行为特征拼接到会话特征中，形成网络行为特征集；步骤5、根据网络行为特征集与训练集进行预测模型进行训练，完成训练后，通过预测模型对未知的网络行为特征样本进行应用服务识别。本发明提出的方案能够提高暗网加密应用服务检测的准确性以及能较全面与完善的提取流量特征。

技术领域

本发明涉及数据分析领域，特别涉及一种基于网络行为特征的暗网加密应用服务识别方法及系统。

背景技术

加密流量主要是指在通信过程中所传送的被加密过的实际明文内容。在安全和隐私保护需求的驱动下，网络通信加密化已经成为不可阻挡的趋势，加密网络流量呈现爆炸增长。外媒Netmarketshare发布的数据显示，截止到2019年10月全球使用HTTPS密的Web流量的比例已经超过了九成。HTTPS网站加密传输协议几乎已经接近普及。但加密流量也给互联网安全带来了巨大威胁，尤其是当加密技术运用在暗网通信时。在暗网上的黑市交易，诸如毒品、军火、恶意软件等行为，均是用加密流量进行会话。因此对暗网加密流量及其应用服务的识别是网络恶意行为检测中关键的技术，对维护网络空间安全具有重要意义。

目前工业界与学术界对加密流量识别的研究层出不穷，如基于有效负载的识别方法、负载随机性检测的方法、基于机器学习的识别方法、基于深度学习的方法等。但受限于加密的流量难以大量采集与标注以及加密协议的快速迭代等客观因素，对加密流量中的加密应用服务仍难以精准检测与识别，尤其是暗网加密应用。

发明内容

针对现有技术中暗网加密应用难以精准识别的问题，本发明提供了一种基于网络行为表征体系的暗网加密应用服务识别的方法与装置，采集并分析Tor、I2P、ZeroNet、FreeNet等主流暗网匿名系统产生的通信流量，提取主机在一段时间内的网络行为特征以及会话特征，构造网络行为特征库，并利用机器学习算法进行建模与训练模型，最后识别会话所属的加密应用类型。

本发明采用的技术方案如下：基于网络行为特征的暗网加密应用服务识别方法，包括：

步骤1、采集历史一段时间内明网与暗网的应用流量数据，并根据五元组信息标注出对应的应用服务，作为训练集；

步骤2、以应用流量数据的五元组作为关键值对会话进行解析，提取会话特征；

步骤3、基于提取的会话特征，提取源IP地址对应的行为特征，同时提取目的IP地址与端口对应的行为特征，组合构建为IP行为特征；

步骤4、按相同的源IP地址，将IP行为特征拼接到会话特征中，形成网络行为特征集；

步骤5、根据网络行为特征集与训练集进行预测模型进行训练，完成训练后，通过预测模型对未知的网络行为特征样本进行应用服务识别。

进一步的，会话特征包括统计特征、有效载荷特征、指纹特征、时间特征以及背景流量特征；所述统计保证包括数据报延迟时间特征、数据流的包长度统计特征、发送数据流的载荷长度统计特征、接收数据流的载荷长度统计特征以及有效载荷的字节分布统计特征；所述背景流量特征包括DNS响应信息中DNS响应中域名长度、DNS响应信息中域名中数字与非数字字符长度比、DNS响应信息中TTL值、DNS响应返回的IP地址数、DNS响应信息中域名在Alexa网站中的排名情况。

进一步的，行为特征包括：统计特征、历史行为特征以及背景信息特征；