[发明专利]基于载荷相邻概率模型的加密流量识别方法

摘要

本发明公开了一种基于载荷相邻概率模型的加密流量识别方法，目的是提供一种利用非加密流量特征的高准确性普适加密流量识别方法。技术方案是：第一步，输入非加密网络流量，统计报文数据载荷字节间的相邻次数，并选择数值点区分高概率相邻关系及低概率相邻关系，构建相邻概率关系模型；第二步，输入网络会话流量，提取相邻特征和随机性特征，同时辅以基于信息熵的数据随机性特征；第三步，将非加密流量及加密流量的相邻特征和随机性特征作为输入送入基于机器学习的分类引擎进行训练，继而根据未知流量的相邻特征和随机性特征进行加密流量识别。相比于目前主流加密流量识别方法，本发明可以对未知加密协议流量普适识别，且有效提升了识别准确性。

主权项

基于载荷相邻概率模型的加密流量识别方法，其特征在于包含以下步骤：第一步，建立载荷相邻概率模型：输入非加密网络流量，统计报文数据载荷字节间的相邻次数，并选择数值点区分高概率相邻关系及低概率相邻关系，构建相邻概率关系模型，得到相邻概率关系矩阵，即载荷相邻概率模型，具体步骤为：步骤1.1 初始化：初始化载荷相邻记录矩阵A[R][R]，及相邻概率关系矩阵B[R][R]，R为整数，由于ASCII码中有256个字符，R≥256，A、B矩阵大小均设置成R×R，初始值均为全0；0≤m≤R‑1，0≤n≤R‑1，m、n均为整数，A_m,n、B_m,n记录ASCII码中编码为m的字符与编码为n的字符之间的相邻次数和相邻概率；步骤1.2 统计报文数据载荷字节间的相邻次数，得到载荷相邻记录矩阵A：记共有P条非加密流量报文，记为Package₁,…,Package_p,…Package_P，1≤p≤P，p、P均为整数，Package_p中的数据载荷为DATA[p]，数据载荷长度为L_p，L_p≥2，L_p为整数；记DATA[p]_i为DATA[p]第i位对应的ASCII字符，1≤i≤L_p，i为整数；逐一读取P条非加密流量报文，遍历DATA[1],…,DATA[p],…DATA[P]，将单字节载荷之间的相邻关系统计入载荷相邻记录矩阵A；步骤1.3 构建相邻概率关系矩阵B：读取载荷相邻记录矩阵A中的R²个元素按照数值从大到小排序，选取第N个元素的数值作为分位点，即高概率相邻关系及低概率相邻关系分割点，记为Division，1≤N≤R²，N为整数；依次遍历A中的每个元素，若A_m,n≥Division，则B_m,n＝1，即m与n之间为高概率相邻关系；否则，B_m,n保持为0，即m与n之间为低概率相邻关系；A矩阵遍历结束后，得到相邻概率关系矩阵B，即载荷相邻概率模型；第二步，特征提取：输入网络会话流量，分别提取相邻特征和随机性特征；第三步，基于机器学习方法的分类识别：使用基于机器学习方法的分类引擎进行加密流量识别，将非加密流量及加密流量的相邻特征和随机性特征作为输入送入基于机器学习的分类引擎进行训练，训练结束后，根据未知流量的相邻特征和随机性特征进行加密流量识别，得到基于载荷相邻概率模型的加密流量识别结果。