[发明专利]恶意加密流量检测方法、装置、电子设备及存储介质

说明书

本申请提供一种恶意加密流量检测方法、装置、电子设备及存储介质，涉及安全技术领域。该方法通过EDR系统中的流量分析引擎提取待检测加密流量的流量特征，由于该流量特征是由流量分析引擎中的神经网络模型以及特征工程算子所提取的，所以能够有效地提取待检测加密流量中深层和浅层流量特征，相比于传统检测方法只能基于浅层特征进行检测的方式，本申请中可以提取更多更有效的流量特征来进行检测，以提高恶意加密流量检测的准确性，进而提高网络系统的安全性。

技术领域

本申请涉及安全技术领域，具体而言，涉及一种恶意加密流量检测方法、装置、电子设备及存储介质。

背景技术

近年来网民规模和网络普及率逐年递增，网络用户对于安全隐私等意识不断提升，为保护公众隐私，互联网上的很多流量被加密传输，鉴于目前加密技术和大数据在网络通信中的融合，加密的恶意数据流量在不解密的情况下很难被反病毒软件和防火墙直接检测到。

传统的恶意数据流量的检测方法一般是提取恶意数据流量中的一些浅显的特征进行检测，而随着攻击手段的提高，恶意数据流量隐藏得更深，使用传统的检测方法对恶意数据流量的检测准确率低，无法检测出网络中更多的恶意数据流量，从而导致网络安全性较低。

发明内容

本申请实施例的目的在于提供一种恶意加密流量检测方法、装置、电子设备及存储介质，用以改善现有的检测方法检测准确性低而导致网络安全性低的问题。

第一方面，本申请实施例提供了一种恶意加密流量检测方法，应用于包含端点检测与响应EDR系统的安全设备，所述方法包括：

通过所述EDR系统中的流量分析引擎提取待检测加密流量的流量特征，其中，所述流量分析引擎中部署有神经网络模型以及特征工程算子，所述流量特征包括所述神经网络模型以及所述特征工程算子所提取的特征；

通过所述EDR系统中的流量检测引擎基于所述流量特征检测所述待检测加密流量是否为恶意加密流量，并获得检测结果。

在上述实现过程中，通过EDR系统中的流量分析引擎提取待检测加密流量的流量特征，由于该流量特征是由流量分析引擎中的神经网络模型以及特征工程算子所提取的，所以能够有效地提取待检测加密流量中深层和浅层流量特征，相比于传统检测方法只能基于浅层特征进行检测的方式，本申请中可以提取更多更有效的流量特征来进行检测，以提高恶意加密流量检测的准确性，进而提高网络系统的安全性。并且，本申请中基于EDR系统来进行检测，由于EDR系统加强了威胁检测和响应取证的能力，能够快速检测、识别、监控和处理端点时间，从而可以快速捕获网络中存在可疑的加密流量，并且EDR系统本身也具有检测功能，所以，本申请中依托EDR系统来实现恶意加密流量的检测，可以进一步提高恶意加密流量的检测准确性。

可选地，所述流量检测引擎中部署有机器学习模型，所述机器学习模型用于基于所述流量特征检测所述待检测加密流量是否为恶意加密流量，并输出检测结果。由于机器学习模型能够实现自学习，并且计算简单，所以能够快速实现恶意加密流量的检测。

可选地，所述机器学习模型为随机森林算法模型，所述随机森林算法模型包括多个决策树，所述流量特征作为每个决策树的输入，所述检测结果为对每个决策树输出的结果进行投票确定的。由于随机森林算法模型不会出现决策树的过拟合的问题，所以相比于其他机器学习模型，采用随机森林算法模型来进行恶意加密流量的预测，准确性更高。

可选地，所述神经网络模型为卷积神经网络模型，所述通过所述EDR系统中的流量分析引擎提取待检测加密流量的流量特征，包括：

通过所述流量分析引擎中的卷积神经网络模型提取所述待检测加密流量的深层流量特征；

通过所述流量分析引擎中的特征工程算子提取所述待检测加密流量的流量统计特征；

其中，所述流量特征包括所述深层流量特征和所述流量统计特征。