[发明专利]一种用于恶意网络行为检测的方法和装置

说明书

技术领域

本发明涉及网络安全领域，尤其涉及一种用于恶意网络行为检测的方法和装置。

背景技术

随着移动通信技术的进步，移动互联网得到了广泛发展。随之而来地，也出现了许多针对移动互联网的网络攻击，这对移动互联网和移动终端产生了极大的威胁。

传统上，使用基于签名的匹配技术来检测移动互联网中的恶意网络行为。然而，恶意网络行为并不是固定不变的，通常攻击者会对恶意网络行为做一些小的改变从而产生多态和变形的恶意网络行为，但是，使用基于签名的匹配技术并不能有效检测多态和变形的恶意网络行为。

为此，人们提出了许多数据挖掘技术来检测多态和变形的恶意网络行为。虽然相对于基于签名的匹配技术，目前的数据挖掘技术能够更为有效地检测多态和变形的恶意网络行为，但是检测的准确性仍然不够高，时常会出现误检的情形。

发明内容

考虑到现有技术的上述问题，本发明实施例提出一种用于恶意网络行为检测的方法和装置，其能够提高对恶意网络行为检测的准确性。

按照本发明实施例的一种用于恶意网络行为检测的方法，包括：根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及，根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。

其中，所述方法还包括：根据所述待检测的网络行为的行为特点，判定所述待检测的网络行为所属的行为种类；以及，从分别对应于不同的行为种类的多个行为识别模型中，选择与所判定的行为种类对应的行为识别模型，其中，所述多个行为识别模型的每一个包括所述多个行为类别各自的特征参数，其中，所述计算进一步包括：根据所选择的行为识别模型所包括的所述多个行为类别各自的特征参数，计算所述待检测的行为与所述多个行为类别的每一个的相关程度值，得到所述多个相关程度值。

其中，所述方法还包括：将作为所述训练样本的所述已知的恶意网络行为和正常网络行为划分为多个行为组，其中每一个行为组中的网络行为属于相同的行为种类；利用聚类算法将所述多个行为组中的每一个行为组所包括的网络行为聚类为多个子行为组，每一个子行为组所包括的网络行为属于所述多个行为类别的其中一个；以及，利用多分类器训练算法分别对所述多个行为组中的每一个行为组所包括的各个子行为组中的网络行为进行训练，得到所述多个行为识别模型。

其中，所述待检测的网络行为被确定所属的行为与所述待检测的网络行为实际所属的行为不相同，以及，所述方法还包括：计算所述多个相关程度值中除了所述最大相关程度值之外的其它相关程度值的乘积；检查所述最大相关程度值与所计算的乘积的比值是否大于指定阈值；以及，如果检查结果为肯定，则利用增量学习算法使用所述待检测的网络行为进行自学习训练，以更新所述多个行为识别模型。

其中，所述行为种类包括传播行为、远程控制行为、攻击行为。

按照本发明实施例的一种用于恶意网络行为检测的装置，包括：计算模块，用于根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及，确定模块，用于根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。

其中，所述装置还包括：判定模块，用于根据所述待检测的网络行为的行为特点，判定所述待检测的网络行为所属的行为种类；以及，选择模块，用于从分别对应于不同的行为种类的多个行为识别模型中，选择与所判定的行为种类对应的行为识别模型，其中，所述多个行为识别模型的每一个包括所述多个行为类别各自的特征参数，其中，所述计算模块进一步用于：根据所选择的行为识别模型所包括的所述多个行为类别各自的特征参数，计算所述待检测的行为与所述多个行为类别的每一个的相关程度值，得到所述多个相关程度值。