[发明专利]一种基于K-S检验的加密代理下的挖矿流量识别方法

说明书

本发明提出了一种基于K‑S检验的加密代理下的挖矿流量识别方法，分为四个部分，第一部分为使用了加密代理的挖矿流量的获取，并生成挖矿流量的特征分布；第二部分为数据预处理，对待测流量组流，并基于挖矿流量的协议特征过滤无关报文；第三部分是特征提取，基于挖矿流量的特征提取待测流量的特征；第四部分为基于K‑S检验的挖矿流量识别，具体内容为将待测流量的特征分布输入到检测模型，与挖矿流量的特征分布做K‑S检验，最后输出检测结果。本发明能够有效地检测使用了加密代理的挖矿流量，可以在不产生错误警报的基础上获得98.84％的召回率，对抗性评估显示该发明在一定程度的反检测手段下仍然有效，便于管理者从网络层面对挖矿行为进行检测和监管。

技术领域

本发明属于网络空间安全技术领域，涉及基于K-S检验的加密代理下的挖矿流量识别方法。

背景技术

区块链作为比特币的底层技术，本质上是一个去中心化的数据库，它能够实现账本中数据的一致存储、难以篡改、防止抵赖等功能。挖矿对于区块链来说是一个必不可少的过程，它不仅将交易验证并添加到区块链，还在去中心化组织中建立了共识。挖矿的利益也吸引了黑客们的注意。加密劫持，是指在违背用户的意愿或在用户不知情的情况下，操控其设备挖掘加密货币来为攻击者获取收益。自2018年以来，加密劫持已经成为一种类似于勒索软件的广泛攻击。黑客们开发恶意软件来攻击个人电脑、服务器、甚至是物联网设备，使它们替黑客们挖掘加密货币。

挖矿行为本身会消耗大量计算资源，使系统、软件、应用服务运行缓慢，甚至可能使系统崩溃，造成数据丢失；虚拟货币挖矿会造成大量的能源消耗和碳排放。而加密劫持会占用受害设备的资源，影响受害用户的正常使用，并给攻击者带来非法收益。因此，对挖矿行为进行检测不仅可以防范加密劫持攻击，也可以帮助治理虚拟货币挖矿的泛滥。

已经有一些基于主机的方法可以抵御加密劫持，它们通过监测软件操作、网站访问和硬件状态数据来识别设备是否被劫持挖矿。然而，这些方法需要在终端设备上安装软件，涉及用户的私人数据，并需要及时更新，这一点被许多用户所拒绝。此外，基于主机的方法只保护单一的终端设备，保护一个被管理的网络需要在每个设备上安装和维护监测软件。因此，近年来研究人员更多地通过网络流量分析来检测加密劫持。原始的挖矿流量遵循Stratum协议，通过明文传输，因此可以通过IP封锁和深度数据包检查来防御。然而，攻击者仍然可以通过配置加密代理来加密、混淆和转发挖矿流量，以此来躲避监管。现有的流量分析方法在使用了加密代理挖矿的场景下的表现并不理想，或是要求数据集相对平衡，又或是需要较长的检测时间。

因此，本发明通过搭建加密代理转发、加密并混淆数据包，加入矿池挖矿来采集挖矿流量；然后将流量预处理，提取挖矿流量和待测流量的特征分布；最后运用K-S检验来对特征分布进行比对，根据K-S检验结果完成对挖矿流量的识别。

发明内容

为了对挖矿行为进行有效监管，实现对使用了加密代理的挖矿流量的识别，本发明提出了一种基于K-S检验的加密代理下的挖矿流量识别方法。针对使用了加密代理的挖矿流量难以检测的问题，提出了基于K-S检验来对特征分布函数进行比对的高效挖矿流量识别方法。方法首先依据挖矿流量的协议特征，对初始流量进行组流并过滤。接着通过对挖矿流量的特征分析，提取数据包大小和时间间隔特征作为检测依据；随后将入度流量按每60个数据包为一个检测单位，出度流量按每40个数据包为一个检测单位，分别生成数据包大小和数据包时间间隔的特征分布函数；最后使用K-S检验对待检测流量和挖矿流量的特征分布进行比对，根据K-S检验的结果完成挖矿流量的识别。为了达到上述目的，本发明提供如下技术方案：

一种基于K-S(Kolmogorov-Smirnov test)检验的加密代理下的挖矿流量识别方法，包括如下步骤：

(1)通过加入矿池挖矿，使用加密代理来转发和混淆数据，收集挖矿流量；

(2)将初始流量按五元组源IP，目的IP，源端口，目的端口，协议类型组流，再过滤掉无关数据包，只保留带有PSH标志的TCP报文；