一种传输层安全协议加密流量的识别方法及系统技术方案

一种传输层安全协议加密流量的识别方法及系统，包括：获取被检测加密流量数据；基于所述被检测加密流量数据进行数据预处理，提取流信息转换为直方图；将所述直方图输入预先训练好的分类模型，进行流量分类，实现加密流量的识别；其中，所述预先训练好的分类模型是以所述直方图为输入，所述直方图对应的消息类型为输出对卷积神经网络进行训练得到。本发明专利技术主要针对传输层安全协议的网络流信息,通过提取传输层安全协议记的类型、长度、序列、交互等特征实现加密流量识别。网络流信息可以更好的反应用户行为，对不同的网络应用有更好的识别度。对不同的网络应用有更好的识别度。对不同的网络应用有更好的识别度。

【技术实现步骤摘要】
一种传输层安全协议加密流量的识别方法及系统


[0001]本专利技术涉及计算机网络
，具体讲涉及一种传输层安全协议加密流量的识别方法及系统。

技术介绍

[0002]近年来,网络流量中使用加密技术的比例激增，加密网络流量占比高达70％以上。鉴于许多情况下加密网络数据无法直接解密检测，加密通信安全检测在网络安全领域面临着严峻挑战。加密通信中最常用的加密技术就是利用传输层安全协议(TLS,Transport Layer Security)协议对其通信过程进行加密，传输层安全协议的目的是为客户端与服务器之间的信息传输构建一个加密通道，该协议主要分为两层：传输层安全协议记录协议和传输层安全协议握手协议。
[0003]目前的加密通信识别技术主要有以下三种：一是基于明文特征的规则检测，二是基于机器学习的模型检测，三是基于深度学习的模型检测。
[0004]基于明文特征的规则检测是通过匹配已知的恶意加密流量所用X.509证书的证书指纹以及域名等信息,来检测输入流量是否为恶意流量。基于此方法已有成熟的检测系统，如Snort、Suricata等。此方法的优势是可以快速检测出已知的恶意流量，但对于新型威胁、未知威胁无从判断。特别的，当加密流量使用会话恢复时，加密流量中不包含证书，无法利用证书指纹规则进行检测。当加密流量不使用DNS请求获得服务器地址时，无法利用域名规则进行检测。
[0005]思科采用监督式机器学习模型来检测恶意加密流量，充分利用网络流数据独特且多样化的特性，特征数据包括传输层安全协议握手元数据、与加密流量相关联的DNS环境流，以及五分钟内来自同一源网络地址的HTTP环境流的HTTP头部信息。基于机器学习的模型检测是对恶意加密通信检测技术的一大突破。
[0006]基于深度学习的模型检测是通过训练深度学习模型进行检测，具有代表性的有基因图谱技术，将恶意代码映射为灰度图像，建立卷积神经网络深度学习模型，利用灰度图像集合训练卷积神经网络，生成检测模型。该技术能够有效地检测使用特定封装工具打包的恶意代码所产生的恶意流量。
[0007]对于传输层安全协议加密通信识别，已有上述的几类解决方法，但目前的几类方法会产生以下问题：一是有的加密流量数据并不传输证书与域名，除证书、域名信息外是否还有其他可利用的信息；二是是否有更好的不变量来适应多版本的传输层安全协议；三是如何进一步地提高检测结果的可解释性。

技术实现思路

[0008]为了解决除证书、域名信息外是否还有其他可利用信息，是否有更好的不变量适应多版本的传输层安全协议以及如何进一步地提高检测结果的可解释性，本专利技术提出了一种传输层安全协议加密流量的识别方法，包括：
[0009]获取被检测加密流量数据；
[0010]基于所述被检测加密流量数据进行数据预处理，提取流信息转换为直方图；
[0011]将所述直方图输入预先训练好的分类模型，进行流量分类，实现加密流量的识别；
[0012]其中，所述预先训练好的分类模型是以所述直方图为输入，所述直方图对应的消息类型为输出对卷积神经网络进行训练得到。
[0013]优选的，所述分类模型的训练包括：
[0014]基于直方图和直方图对应的消息类型构建训练集；
[0015]将所述训练集中的直方图作为卷积神经网络的输入，将所述直方图对应的消息类型作为输出对所述卷积神经网络进行训练得到。
[0016]优选的，所述卷积神经网络包括：输入层、卷积层、池化层、全连接层和输出层：
[0017]所述输入层，用于将所述直方图裁剪成设定尺寸并进行归一化处理后输出彩色图像矩阵作为输入数据矩阵，同时将所述输入数据矩阵传输至所述卷积层；
[0018]所述卷积层，用于基于所述输入数据矩阵，利用预先设定的卷积核按照预先设定的步长从左向右从上向下进行卷积操作，得到卷积特征，并将所述卷积特征传输至所述池化层；
[0019]所述池化层，用于利用预先设定的汇合核按照预先设定的步长从左向右从上向下对所述卷积特征进行汇合操作，输出所述汇合核覆盖区域的最大值作为汇合结果，同时将所述汇合结果传输至全连接层；
[0020]所述全连接层，用于将所述全连接层中每个神经元与所述池化层的所有神经元进行全连接，将所述池化层最后一层汇合结果平铺得到全连接层第一层的神经元向量，利用所述全连接层第一层的神经元向量计算得到全连接层第二层神经元向量，依次计算得到全连接层最后一层神经元向量，并将所述全连接层最后一层神经元向量传递到所述输出层；
[0021]所述输出层，用于利用softmax函数对所述全连接层最后一层神经元向量进行分类。
[0022]优选的，所述卷积特征按下式计算：
[0023][0024]式中，H
i
为卷积特征第i层的特征图，f(x)为非线性激励函数，H
i
‑1为卷积特征第i
‑
1层的特征图，运算符表示卷积核与第i
‑
1层图像或特征图进行卷积操作，W
i
为第i层卷积核的权值向量，b
i
为偏移向量。
[0025]优选的，所述汇合核覆盖区域的最大值按下式计算：
[0026]H
i+1
＝max_pooling(H
i
)
[0027]式中，H
i+1
为汇合核覆盖区域的最大值，H
i
为卷积特征第i层的特征图。
[0028]优选的，所述神经元向量按下式计算：
[0029][0030]式中，y
i
为全连接层第i层的神经元向量，g(x)为神经元激励函数，y
i
‑1表示全连接层第i
‑
1层的神经元向量，y0为最后一个池化层所得特征图铺得到，ω
l
为全连接层第l层的权值向量，d
l
为随机生成的0或1，b
l
为偏移向量。
[0031]优选的，所述softmax函数如下式所示：
[0032]Y＝softmax(y
ξ
)
[0033]式中，Y为每个分类标签的概率分布，y
ξ
为全连接层最后一层的神经元向量。
[0034]优选的，所述基于所述被检测加密流量数据进行数据预处理，提取流信息转换为直方图，包括：
[0035]基于所述被检测加密流量数据提取传输层安全协议记录层的消息类型、传输层安全协议记录层的字节长度、传输层安全协议消息转移序列、传输层安全协议记录层的交互信息；
[0036]基于所述传输层安全协议消息转移序列确定直方图的横坐标取值区间，并基于所述传输层安全协议记录层的字节长度确定直方图的纵坐标取值区间；
[0037]在所述直方图的横坐标取值区间和所述直方图的纵坐标取值区间构建的二维坐标中，将所述传输层安全协议记录层的消息类型用颜色表示，将所述传输层安全协议记录层的字节长度用高度表示，本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种传输层安全协议加密流量的识别方法，其特征在于，包括：获取被检测加密流量数据；基于所述被检测加密流量数据进行数据预处理，提取流信息转换为直方图；将所述直方图输入预先训练好的分类模型，进行流量分类，实现加密流量的识别；其中，所述预先训练好的分类模型是以所述直方图为输入，所述直方图对应的消息类型为输出对卷积神经网络进行训练得到。2.根据权利要求1所述方法，其特征在于，所述分类模型的训练包括：基于直方图和直方图对应的消息类型构建训练集；将所述训练集中的直方图作为卷积神经网络的输入，将所述直方图对应的消息类型作为输出对所述卷积神经网络进行训练得到。3.根据权利要求2所述方法，其特征在于，所述卷积神经网络包括：输入层、卷积层、池化层、全连接层和输出层：所述输入层，用于将所述直方图裁剪成设定尺寸并进行归一化处理后输出彩色图像矩阵作为输入数据矩阵，同时将所述输入数据矩阵传输至所述卷积层；所述卷积层，用于基于所述输入数据矩阵，利用预先设定的卷积核按照预先设定的步长进行卷积操作，得到卷积特征，并将所述卷积特征传输至所述池化层；所述池化层，用于利用预先设定的汇合核按照预先设定的步长对所述卷积特征进行汇合操作，输出所述汇合核覆盖区域的最大值作为汇合结果，同时将所述汇合结果传输至全连接层；所述全连接层，用于将所述全连接层中每个神经元与所述池化层的所有神经元进行全连接，将所述池化层最后一层汇合结果平铺得到全连接层第一层的神经元向量，利用所述全连接层第一层的神经元向量计算得到全连接层第二层神经元向量，依次计算得到全连接层最后一层神经元向量，并将所述全连接层最后一层神经元向量传递到所述输出层；所述输出层，用于利用softmax函数对所述全连接层最后一层神经元向量进行分类。4.根据权利要求3所述方法，其特征在于，所述卷积特征按下式计算：式中，H
i
为卷积特征第i层的特征图，f(x)为非线性激励函数，H
i
‑1为卷积特征第i
‑
1层的特征图，运算符表示卷积核与第i
‑
1层图像或特征图进行卷积操作，W
i
为第i层卷积核的权值向量，b
i
为偏移向量。5.根据权利要求3所述方法，其特征在于，所述汇合核覆盖区域的最大值按下式计算：H
i+1
＝max_pooling(H
i
)式中，H
i+1
为汇合核覆盖区域的最大值，H
i
为卷积特征第i层的特征图。6.根据权利要求3所述方法，其特征在于，所述神经元向量按下式计算：式中，y
i
为全连接层第i层的神经元向量，g(x)为神经元激励函数，y
i
‑1表示全连接层第i
‑
1层的神经元向量，y0为最后一个池化层所得特征图铺得到，ω
...

【专利技术属性】
技术研发人员：王迪，刘圣龙，夏雨潇，赵涛，吕艳丽，张舸，周鑫，江伊雯，
申请(专利权)人：国家电网有限公司大数据中心，
类型：发明
国别省市：