[发明专利]一种面向网络加密流量的恶意移动应用检测方法

说明书

本发明涉及一种面向网络加密流量的恶意移动应用检测方法，能够有效分析移动应用产生的加密流量是否为攻击流量，而现有方法主要针对明文流量进行分析，因而本发明所设计检测方法是对现有研究方法的一种有效补充，从而使得网络层的恶意移动应用检测更加实用化。同时，本发明所设计检测方法仅以网络流量为输入，不需要在移动终端上安装额外程序，也不需要对网络流量内容进行深度解析，从而减轻了移动终端的运行负载，且保证了移动用户的数据隐私，便于实际部署使用。

技术领域

本发明涉及一种面向网络加密流量的恶意移动应用检测方法，属于网络安全、恶意移 动应用检测技术领域。

背景技术

随着移动互联网的迅速发展，移动智能终端(如智能手机、平板Pad、智能手表等)已经成为日常社会活动的重要辅助工具。但移动智能终端的广泛使用，也吸引了众多攻击者的目光，各类恶意移动应用(Mobile malware)攻击事件层出不穷，移动智能终端安全 正面临着严峻的考验。

分析恶意移动应用攻击行为发现，典型的如敏感信息泄露、网络渗透等恶意攻击大多 通过网络进行，借助SMS短信的不足1％。而现有的恶意移动应用流量检测主要针对明文流 量，以HTTP GET和POST请求的具体内容，如Host、Request-method、User-agent等为检测对象。当检测出已知的攻击特征或字段内容与正常访问流量相比对呈现异常时，判定流量为恶意攻击流量，对应的移动应用为恶意应用。但该方法无法应用于加密网络流量(SSL、TLS、HTTP密文数据传输或其它加密方式等)的检测分析。

针对移动应用加密网络流量，已有研究主要通过网络流量行为的差异来检测恶意移动 应用。首先提取移动应用的网络流量外在特征(不考虑报文具体内容)，如发送/接收的报 文数量、字节数、报文时间间隔等，然后利用机器学习或统计方法建立合法移动应用(恶 意移动应用)的网络访问行为模型。当未知安全属性的移动应用其网络行为与现有模型偏 差较大(类似)时，则判断其为恶意应用。此类研究工作仅能从网络整体上判断出移动应 用是否异常，无法分辨出恶意移动应用产生的具体攻击流量，即无法判定移动应用产生的 某条加密网络流，其是否为恶意攻击流量。

发明内容

本发明所要解决的技术问题是提供一种面向网络加密流量的恶意移动应用检测方法， 仅以网络流量为输入，不需要在移动终端上安装额外程序，也不需要对网络流量内容进行 深度解析，从而减轻了移动终端的运行负载，且保证了移动用户的数据隐私，具有重要实 用价值。

本发明为了解决上述技术问题采用以下技术方案：本发明设计了一种面向网络加密流 量的恶意移动应用检测方法，包括如下步骤：

步骤A.识别获得待判断加密网络流量所对应的移动应用，作为待判断移动应用对象， 然后进入步骤B；

步骤B.分析待判断移动应用对象的整体网络行为是否异常，以及分析待判断加密网 络流量是否异常；若两者分析均不存在异常，则判定待判断移动应用对象为非恶意应用， 针对待判断加密网络流量的检测结束；若两者分析中存在异常，则获得全部异常信息，并 进入步骤C；

步骤C.基于异常信息，使用分类方法判断待判断加密网络流量是否为恶意攻击流量， 是则判定待判断移动应用对象为恶意应用，针对待判断加密网络流量的检测结束；否则判 定待判断移动应用对象为非恶意应用，针对待判断加密网络流量的检测结束。

作为本发明的一种优选技术方案：所述步骤A中，采用基于机器学习的分类方法，识 别获得待判断加密网络流量所对应的移动应用，作为待判断移动应用对象，其中，机器学 习的分类方法通过预先学习不同移动应用的流量特征模型；然后采用经过学习的机器学习 的分类方法，针对待判断加密网络流量进行识别，获得待判断加密网络流量所对应的移动 应用，作为待判断移动应用对象。