一种基于多特征融合的恶意加密流量检测方法技术

本发明专利技术公开了一种基于多特征融合的恶意加密流量检测方法，涉及流量检测技术领域，包括以下实施步骤：进入收集处理端，通过多种手段持续收集恶意软件产生的加密流量，并实时进行数据清洗和标注；进入聚合标记端，对每个样本根据样本查询威胁情报平台的多AV引擎扫描结果；进入递进识别端，实时过滤聚合后的样本特征，使用多分类模型进行恶意软件家族类型识别，实时对比验证恶意软件加密流量检测模型的检测效果，实现差异化告警并优先呈现。该基于多特征融合的恶意加密流量检测方法，降低恶意加密流量检测存在的偏差，增加某些负载网络环境下的加密流量复杂性刻画的全面性，增强恶意加密流量检测结果的真实性。

【技术实现步骤摘要】

本专利技术涉及流量检测，特别涉及一种基于多特征融合的恶意加密流量检测方法。

技术介绍

1、基于多特征融合的恶意加密流量是指通过结合多种不同类型的网络流量特征来识别和检测恶意加密流量的方法，在网络安全领域中，加密技术虽然保护了通信安全，但也为恶意软件提供了隐藏其恶意行为的机会，传统的基于有效负载和深度包检测的方法由于无法解析加密内容，已不再适用，因此，研究者们提出了基于多特征融合的恶意加密流量检测方法。

2、申请号cn202410344014.9公开了一种基于多视图特征融合的恶意加密流量检测方法及系统，所述方法包括：获取并预处理待检测网络流量数据，从v个不同视图提取序列特征xv。本专利技术提供的方法利用深度神经网络技术从多视图角度综合分析网络特征，自动进行高效准确的恶意流量行为检测。

3、检索上述专利后，发现基于多特征融合的恶意加密流量仍存在一些不足，目前，恶意样本难以大规模收集，公开渠道收集的样本质量参差不齐，难以进行数据清洗和标注，导致恶意加密流量检测容易出现偏差；同时对于某些负载网络环境下的加密流量复杂性刻画不够、对恶意软件在不本文档来自技高网...

【技术保护点】

1.一种基于多特征融合的恶意加密流量检测方法，其特征在于，所述方法包括以下实施步骤：

2.根据权利要求1所述的方法，其特征在于：所述步骤一中的收集处理端包括流量收集模块、分阶清洗模块和分阶标注模块；

3.根据权利要求2所述的方法，其特征在于：所述分阶清洗模块包括分时分阶单元和数据清洗单元；

4.根据权利要求3所述的方法，其特征在于：所述分阶标准模块包括同步分阶单元、颜色标注单元和数据删减单元；

5.根据权利要求1所述的方法，其特征在于：所述聚合标记端包括查询扫描模块、聚合训练模块和分阶监测模块；

6.根据权利要求5所述的方法，其...

【技术特征摘要】

1.一种基于多特征融合的恶意加密流量检测方法，其特征在于，所述方法包括以下实施步骤：

2.根据权利要求1所述的方法，其特征在于：所述步骤一中的收集处理端包括流量收集模块、分阶清洗模块和分阶标注模块；

3.根据权利要求2所述的方法，其特征在于：所述分阶清洗模块包括分时分阶单元和数据清洗单元；

4.根据权利要求3所述的方法，其特征在于：所述分阶标准模块包括同步分阶单元、颜色标注单元和数据删减单元；

5.根据权利要求1所述的方法，其特征在于：所述聚合标记端包括查询扫描模块、聚合训练模块和分阶监测模块；...

【专利技术属性】
技术研发人员：李建飞，李中辉，贺纲，陈俊男，岳俊汝，
申请(专利权)人：北京天云信安科技有限公司，
类型：发明
国别省市：