[发明专利]基于深度学习的加密恶意流量检测及攻击识别方法

说明书

本发明公开了基于深度学习的加密恶意流量检测及攻击识别方法，它包括如下步骤：S1：物联网威胁感知终端实时采集工业物联网中物联网设备所产生的网络流量；S2：将物联网威胁感知终端所采集到的网络流量，发送到物联网威胁感知分析中心中，通过恶意加密流量检测模型和恶意加密流量攻击识别模型对网络流量进行识别并将识别结果发送到物联网安全管理平台；S3：物联网安全管理平台，通过识别结果和网络流量信息形成网络攻击面，可视化展示攻击源对网络造成的影响。本发明检测效率高，准确率高。

技术领域

本发明涉及恶意流量检测领域，具体是一种基于深度学习的加密恶意流量检测及攻击识别方法。

背景技术

随着信息技术的发展,物联网设备广泛普及,但基于成本和实用性等因素的考量,物联网设备的网络安全问题经常被生产商忽略。黑客善于利用安全漏洞感染大量物联网设备进而组建僵尸网络，并以僵尸网络为跳板发起分布式拒绝服务(Distributed Denial ofService,DDoS)攻击。因此,物联网领域的安全问题亟需解决,网络攻击流量检测算法作为网络安全领域的一个分支,也亟需更新。除此之外，在网络流量加密的趋势下,加密技术和协议的广泛应用,网络中面临着海量规模的加密流量，而且加密流量呈现出复杂化和多样化特点,加大了物联网中入侵检测系统对流量的识别难度。由于加密后流量的特征发生了改变，因而传统流量检测方式在加密环境下难以复现，如基于深度包检测或者模式匹配等方法都对加密流量束手无策。因此,在不解密的情况下，如何在加密流量上进行有效的恶意流量识别，已成为了网络安全领域的重要挑战。

分析当前恶意加密流量分类的研究现状,结合物联网应用场景，现在加密恶意流量检测技术方案，仍存在以下问题待改善:1)由于僵尸网络、拒绝服务攻击、恶意加密流量等网络攻击，具有攻击量大、形式多样化的特点，需要对恶意加密流量数据的数据特征更深层的研究；2)特征提取层面,在物联网应用下，当前的特征方法难以应对海量物联网数据,且提取特征存在滞后性，需要考虑在保证特征提取稳定性上，精确提取数据特征；3)检测模型分类层面,检测模型应用场景单一,泛化力弱,且模型检测准确率的稳定性差。因此，需要一种检测效率高、准确率高且鲁棒性强的恶意加密流量检测方法。

发明内容

针对上述现有技术的不足，本发明提供一种检测效率高，准确率高的基于深度学习的加密恶意流量检测及攻击识别方法。

本发明解决其技术问题所采用的技术方案是：

基于深度学习的加密恶意流量检测及攻击识别方法，它包括如下步骤：

S1：物联网威胁感知终端实时采集工业物联网中物联网设备所产生的网络流量；

S2：将物联网威胁感知终端所采集到的网络流量，发送到物联网威胁感知分析中心中，通过恶意加密流量检测模型和恶意加密流量攻击识别模型对网络流量进行识别并将识别结果发送到物联网安全管理平台；

其中，通过恶意加密流量检测模型先对加密正常数据集进行单分类器训练，然后再将加密恶意数据集放入单类分类器中识别，识别出非正常加密流量，重新判断为加密恶意数据，再将识别后的加密恶意数据集和加密正常数据集组成新的数据集，进行二分类训练；

所述恶意加密流量攻击识别模型选取正常流量数据集和恶意流量数据集，将数据集中未被加密的网络流量过滤掉，对加密网络流量的数据包的时间序列特征进行提取，并建立恶意加密流量攻击指纹库；将数据集分为测试数据集和训练数据集，将训练数据集输入到GRU-DNN神经网络模型中，然后通过模型训练结果与已知识别结果进行匹配优化，调整模型参数；

S3：物联网安全管理平台，通过识别结果和网络流量信息形成网络攻击面，可视化展示攻击源对网络造成的影响。

进一步的，所述单分类器为One-Class-SVM算法。

进一步的，所述二分类器为Xgboost算法。