本技术涉及协同检测技术领域,特别是涉及一种加密恶意伪装流量的协同检测方法及系统,其中方法,包括:响应于发送端发送的加密流量检测请求,对待检测的加密流量进行流量解析;对解析的流量,采用布隆过滤器进行初步筛选;对初步筛选结果,采用防火墙进行深度检测;其中,深度检测是采用LSTM模型进行检测的,LSTM模型的输入值包括:流量中操作码的时序特征、IP跳变地址的长期时序特征和第三种特征,所述第三种特征,是指基于HMM从IP跳变地址的长期时序特征中学习到的特征;对深度检测结果进行一致性校验,得到加密流量的检测结果。保障了传输数据的机密性和安全性。
背景技术
在非可信的5G移动物联网通信网络中,充斥着大量的用户敏感信息,为了保障用户的隐私和网络通信安全,防止攻击者监听和截获用户的隐私信息,通常采用加密的传输方式。然而,加密传输方式引入的同时也给攻击者提供了很多可乘之机。一方面,攻击者可以利用加密流量隐藏其恶意行为,例如恶意传递负载、回传数据等。另一方面,加密机制还使攻击者更容易将威胁活动伪装成正常的网络通信,这将给网络安全带来更严重的威胁。
由于加密过程将原始流数据转换为伪随机无意义的字符序列,因此传统的基于深度包检测(Deep Packet Inspection,DPI)的检测方法不再适用。对于加密恶意流量,虽然一些基于机器学习的方法试图对它进行处理,但这通常比较麻烦,并且依赖于手工设计的功能。现有的加密恶意流量检测方法通常采用深度学习或者图神经网络等方法来捕捉加密流量的时空特征如流时长、包时间间隔、包大小、包数等。由于恶意软件缺乏安全性与正规性保证, 其 TLS 握手阶段协商的各种信息与正常通信有所区别, 因而一些研究方法还使用握手阶段的 TLS 数据特征来对加密恶意流量进行检测。
当前随着人工智能的快速发展,一些恶意的攻击者将生成式对抗网络(Generative Adversarial Networks, GAN)应用于流量伪装技术中(如流量变形、链路填充等)。攻击者在将恶意代码传输之前以良性流量为学习对象,生成与良性流量无法区分的对抗流量,从而绕过基于流量特征使用深度学习/图神经网络检测加密恶意流量的方法,导致当前主流的加密恶意流量检测方法失效。
实现思路