[发明专利]基于序列模式识别的木马通信行为检测方法

说明书

本发明公开一种基于序列模式识别的木马通信行为检测方法，其特征在于，将木马产生的网络通信会话流按照时间进行对切片，通过时间聚合分离出应用程序的交互行为，将频繁序列挖掘算法应用于心跳检测，滤除心跳后，序列模式统计识别木马。本发明针对会话流序列性进行检测，分析窃密木马的网络行为，提出用模式序列挖掘过滤心跳，模式匹配检测外部控制，再利用统计方法判断会话流是否为木马。方法轻量、简洁、有效，检测结果的物理可解释性很强。

技术领域：

本发明涉及一种木马通信行为的检测方法，特别是涉及一种基于序列模式识别的木马通信行为检测方法。

背景技术：

近年，APT攻击威胁着企业的数据安全。APT攻击过程可分为七个阶段：侦查、武器化、投放、利用、安装、命令控制、收割。窃密木马在APT攻击的命令控制阶段和收割阶段起着窃取核心资料的重要作用。由于其用途和经济价值，地下产业更是导致了技术垄断，木马曝光的时间较漫长，样本缺乏，研究水平滞后于开发水平。目前，在网络攻击中发挥重要作用的远程控制木马，其样本发现的时间往往滞后于木马被投入使用的时间。无论木马在主机中如何隐蔽自己的行踪，最后都要用通过网络将自己所窃取的信息传送出来。基于网络的检测方法，一直是异常检测的研究热点。基于网络的检测建立在业务流量的基础上，包括端口识别、深度报文检测、行为特征分析等。由于网络地址端口转换技术的广泛采用，大量终端用户使用非默认端口，端口识别技术的鉴别能力逐渐下降。基于深度包的检测通过提取应用层负载的特征值实现对木马的检测，准确率较高，但是只能检测已知的木马实例，识别能力依赖于特征库的完备程度。基于网络行为分析的检测技术对木马网络行为进行识别，具有抗加密混淆，跨平台，可检测未知木马的优点，然而在准确率方面存在一定的局限性，在工业部署中，基于特征签名的检测方法仍是主流。相较于基于特征码匹配的检测技术，网络流量分析是检测新样本的重要手段，其中多使用机器学习方法。常见的机器学习方法，由于不考虑数据流时序序列，单纯使用集合属性的特征，对于木马的识别率还存在提高空间。

Sicong Li等对传输层连接进行了近似重组，从流量、访问、IP数统计、周期性四个方面对网络窃密行为进行了分析，提出了一个基于阈值法和朴素可信度模型的检测系统。首先基于K-means聚类算法对流进行分类，检测TCP连接的木马CC通信行为，采用朴素贝叶斯分类器建立了一个通用的检测模型。这种检测方法实时性较差，只能对完整的流量会话进行分析，这也是很多基于网络流量的木马通信检测方法存在的问题。

Dan Jiang等分析了10款远控木马和10款正常应用产生的通信会话流，发现木马倾向于在会话建立的早期发送较少的数据包以隐藏自己，提出在会话开始的初期使用5种机器学习算法对流的六种特征进行分类，从而可在会话早期发现木马。同一机构的Adachi等研究了24款木马，通过在主机上将网络会话与进程进行关联，应用6种机器学习算法，得到了更好的结果。在这篇研究中，作者同样提到了样本不足的缺陷。

发明内容：

本发明要解决的技术问题是：克服现有研究的不足，提出了一种基于序列模式匹配的木马通信检测方法，将木马程序一次完整的网络活动中产生的流按时间进行切片，通过模式匹配分析每个切片的特点，从而从根本上检测木马网络交互行为，其方法具有一定的稳定性和高准确性，符合普遍的木马通信规律。

本发明的技术方案：设计一个检测木马通信的引擎。其基本思路是通过时间聚合分离出应用程序的交互行为，将频繁模式挖掘算法应用于心跳检测，最后通过序列模式匹配识别木马。该方法在一定的时间尺度内具有稳定性，可在交互行为的初期检测出木马。将该方法应用于现实网络数据集，可有效检测木马的外部控制行为，且具有较低的误报。