[发明专利]一种面向网络加密流量的恶意移动应用检测方法

权利要求书

1.一种面向网络加密流量的恶意移动应用检测方法，其特征在于，包括如下步骤：

步骤A.识别获得待判断加密网络流量所对应的移动应用，作为待判断移动应用对象，然后进入步骤B；

步骤B.采用基于移动应用类别的异常流量分析技术，分析待判断移动应用对象的整体网络行为是否异常，以及分析待判断加密网络流量是否异常；若两者分析均不存在异常，则判定待判断移动应用对象为非恶意应用，针对待判断加密网络流量的检测结束；若两者分析中存在异常，则获得全部异常信息，并进入步骤C；

在分析待判断移动应用对象的整体网络行为是否异常的过程中，首先基于指定流量属性的比较，进行网络流量相似度计算，获得与待判断移动应用对象同属同类别的预设数量m个移动应用，作为各个待验证移动应用，包括如下步骤：

步骤B1-1.将网络流量方向区分为入流方向和出流方向，针对待判断移动应用对象，获得待判断移动应用对象所对应各条网络流量分别在其入流方向和出流方向上的预设前k个特征值，针对所获特征值进行主成分分析，并构建待判断移动应用对象所对应特征矩阵G_t；同时，分别针对各个待对比应用对象，获得待对比应用对象所对应各条网络流量分别在其入流方向和出流方向上的预设前k个特征值，针对所获特征值进行主成分分析，并构建各个待对比应用对象分别所对应的特征矩阵G_c，然后进入步骤B1-2；

步骤B1-2.针对特征矩阵G_t中的各个特征值进行规格化，更新特征矩阵G_t；同时，分别针对各个特征矩阵G_c，针对矩阵G_c中的各个特征值进行规格化，更新矩阵G_c，进而更新各个矩阵G_c，然后进入步骤B1-3；

步骤B1-3.分别针对各个待对比应用对象，按如下公式：

获得待对比应用对象与待判断移动应用对象的网络流量相似度τ_t,c，进而获得各个待对比应用对象分别与待判断移动应用对象的网络流量相似度τ_t,c然后进入步骤B1-4；其中，S为协方差矩阵；

步骤B1-4.针对各个待对比应用对象分别与待判断移动应用对象的网络流量相似度τ_t,c，按由大至小的顺序进行排序，选择预设前m个网络流量相似度τ_t,c所对应的待对比应用对象，作为各个待验证移动应用；

然后将该各个待验证移动应用所产生的网络流量作为正常流量样本；最后将待判断移动应用对象的网络流量与正常流量样本进行对比，即分析待判断移动应用对象的整体网络行为是否异常；

步骤C.基于异常信息，使用分类方法判断待判断加密网络流量是否为恶意攻击流量，是则判定待判断移动应用对象为恶意应用，针对待判断加密网络流量的检测结束；否则判定待判断移动应用对象为非恶意应用，针对待判断加密网络流量的检测结束。

2.根据权利要求1所述一种面向网络加密流量的恶意移动应用检测方法，其特征在于：所述步骤A中，采用基于机器学习的分类方法，识别获得待判断加密网络流量所对应的移动应用，作为待判断移动应用对象，其中，机器学习的分类方法通过预先学习不同移动应用的流量特征模型；然后采用经过学习的机器学习的分类方法，针对待判断加密网络流量进行识别，获得待判断加密网络流量所对应的移动应用，作为待判断移动应用对象。

3.根据权利要求1所述一种面向网络加密流量的恶意移动应用检测方法，其特征在于：所述步骤A中，采用基于流量关联的识别方式，识别获得待判断加密网络流量所对应的移动应用，作为待判断移动应用对象，其中，针对待判断加密网络流量的上下文，寻找获得同待判断加密网络流量，在指定属性上最为关联的明文流量；并获得该明文流量中关键字所对应的移动应用，即为待判断加密网络流量所对应的移动应用，作为待判断移动应用对象。

4.根据权利要求1所述一种面向网络加密流量的恶意移动应用检测方法，其特征在于：所述步骤B1-1.将网络流量方向区分为入流方向和出流方向，基于报文长度特征和报文时间间隔特征的提取，构建待判断移动应用对象所对应特征矩阵G_t，以及构建各个待对比应用对象分别所对应的特征矩阵G_c。