[发明专利]基于知识图谱的加密网络异常流量检测方法

说明书

本发明公开了一种基于知识图谱的加密网络异常流量检测方法，包括以下步骤：利用抓包软件抓取加密协议协商阶段的报文和密钥；利用密钥对加密的流量解密从而得到明文的数据报文；实时获取通信网络中所产生的各种数据报文；将数据报文中的各个实体作为顶点，实体间的关系属性作为边，构建知识图谱；由知识图谱中两个实体间的关系，统计两个实体间的连接数、交互信息数、实连接占比、虚连接占比；统计对所有实体的最终的检测值，判断各检测值是否大于其对应的阈值，若大于阈值则判断通信网络中存在异常流量，发出异常流量预警。本发明以数据流为对象，检测数据流的内部报文，并且用知识图谱来描述流量行为，提升了检测效率和准确度。

技术领域

本发明属于网络安全中的网络异常流量检测领域，具体涉及一种基于知识图谱的加密网络异常流量检测方法。

背景技术

随着网络安全防范意识增强，加密通信占据主流，流量加密在保护隐私的同时也掩饰了非法企图，改变威胁形式的同时，也给网络安全防御带来了巨大的挑战。异常加密流量检测是互联网安全领域的一个重点问题，如何实现对网络加密流量的实时准确识别，是我国网络空间安全领域的重点问题，也是目前网络行为分析、网络规划建设、网络异常检测和网络流量模型研究的重点。

知识图谱，是结构化的语义知识库，用于以符号形式描述物理世界中的概念及其相互关系，其基本组成单位是“实体-关系-实体”三元组和实体及其相关属性-值对，实体间通过关系相互联结，构成网状的知识结构。

知识图谱具体包含3层含义：

1)知识图谱本身是一个具有属性的实体通过关系链接而成的网状知识库，从图的角度来看，知识图谱在本质上是一种概念网络，其中的节点表示物理世界的实体(或概念)，而实体间的各种语义关系则构成网络中的边。由此，知识图谱是对物理世界的一种符号表达。

2)知识图谱的研究价值在于，它是构建在当前Web基础之上的一层覆盖网络(overlay network)，借助知识图谱，能够在Web网页之上建立概念间的链接关系，从而以最小的代价将互联网中积累的信息组织起来，形成可以被利用的知识。

3)知识图谱的应用价值在于它能够改变现有的信息检索方式，一方面通过推理实现概念检索(相对于现有的字符串模糊匹配方式而言)；另一方面以图形化方式向用户展示经过分类整理的结构化知识，从而使人们从人工过滤网页寻找答案的模式中解脱出来。

综上所述，知识图谱对数据有很强的描述能力,可以很好地描述各个实体以及它们之间的关系。将知识图谱应用在攻击异常检测中，从网络流量中抽取信息构成知识图谱，利用知识图谱描述两个主机之间的交互关系，然后对此关系进行分析检测。

知识图谱的构造过程就是还原网络通信的过程，换成一种计算机能够理解的形式。攻击之前都会有一个攻击主机与受害方的交互流程，用知识图谱的形式来描述这个交互流程，也就是利用知识图谱构建网络攻击行为，同时依据阈值规则发现异常，开启预警。

发明内容

为解决加密异常流量检测的准确性与时效性的问题，本发明提供了一种基于知识图谱的加密网络异常流量检测方法，基于知识图谱对网络通信过程进行描述，并将网络中的数据报文中的源和目的IP地址进行实体抽取得到顶点，并根据数据报文的标志位或者交互信息构建源和目的两实体之间的关系，通过统计实体间的交互通信数占比及两者连接数占比，判断网络通信流量的正常与否。

本发明公开了一种基于知识图谱的加密网络异常流量检测方法，包括以下步骤：

S1，利用抓包软件抓取加密协议协商阶段的报文和密钥；

S2，利用密钥对加密的流量解密从而得到明文的数据报文；

S3，实时获取通信网络中所产生的各种数据报文；