[发明专利]恶意加密流量检测方法、装置、电子设备及存储介质

权利要求书

1.一种恶意加密流量检测方法，其特征在于，应用于包含端点检测与响应EDR系统的安全设备，所述方法包括：

通过所述EDR系统中的流量分析引擎提取待检测加密流量的流量特征，其中，所述流量分析引擎中部署有神经网络模型以及特征工程算子，所述流量特征包括所述神经网络模型以及所述特征工程算子所提取的特征；

通过所述EDR系统中的流量检测引擎基于所述流量特征检测所述待检测加密流量是否为恶意加密流量，并获得检测结果。

2.根据权利要求1所述的方法，其特征在于，所述流量检测引擎中部署有机器学习模型，所述机器学习模型用于基于所述流量特征检测所述待检测加密流量是否为恶意加密流量，并输出检测结果。

3.根据权利要求2所述的方法，其特征在于，所述机器学习模型为随机森林算法模型，所述随机森林算法模型包括多个决策树，所述流量特征作为每个决策树的输入，所述检测结果为对每个决策树输出的结果进行投票确定的。

4.根据权利要求1所述的方法，其特征在于，所述神经网络模型为卷积神经网络模型，所述通过所述EDR系统中的流量分析引擎提取待检测加密流量的流量特征，包括：

通过所述流量分析引擎中的卷积神经网络模型提取所述待检测加密流量的深层流量特征；

通过所述流量分析引擎中的特征工程算子提取所述待检测加密流量的流量统计特征；

其中，所述流量特征包括所述深层流量特征和所述流量统计特征。

5.根据权利要求4所述的方法，其特征在于，所述流量统计特征包括以下至少一种：入方向字节数、出方向字节数、入方向包数、出方向包数、源/目的端口、会话时长、协议头信息。

6.根据权利要求1所述的方法，其特征在于，获得检测结果后，所述方法还包括：

若所述检测结果为所述待检测加密流量为恶意加密流量，则通过所述EDR系统中的回溯分析模块分析获得所述待检测加密流量的端点信息、被攻击对象、攻击步骤、攻击范围和破坏程度中的至少一种信息。

7.根据权利要求1-6任一所述的方法，其特征在于，所述流量检测引擎中部署有机器学习模型，所述机器学习模型用于基于所述流量特征检测所述待检测加密流量是否为恶意加密流量，并输出检测结果，所述方法还包括：

通过所述EDR系统中的威胁情报引擎爬取恶意代码样本；

通过所述EDR系统中的分类算法对所述恶意代码样本进行家族分类，并将分类的恶意代码样本存入所述EDR系统中的恶意代码家族库中；

通过所述EDR系统中的沙箱运行恶意代码家族库中的恶意代码样本，生成恶意加密流量样本；

通过所述EDR系统中的流量探针从外部获取正常加密流量样本；

通过所述流量分析引擎提取所述恶意加密流量样本和所述正常加密流量样本的样本流量特征；

利用所述样本流量特征对所述机器学习模型进行训练，在训练完成后，获得训练好的机器学习模型。

8.一种恶意加密流量检测装置，其特征在于，运行于包含端点检测与响应EDR系统的安全设备，所述装置包括：

特征提取模块，用于通过所述EDR系统中的流量分析引擎提取待检测加密流量的流量特征，其中，所述流量分析引擎中部署有神经网络模型以及特征工程算子，所述流量特征包括所述神经网络模型以及所述特征工程算子所提取的特征；

流量检测模块，用于通过所述EDR系统中的流量检测引擎基于所述流量特征检测所述待检测加密流量是否为恶意加密流量，并获得检测结果。

9.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1-7任一所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时运行如权利要求1-7任一所述的方法。