[发明专利]基于卷积神经网络的恶意加密流量检测方法及装置

权利要求书

1.一种基于卷积神经网络的恶意加密流量检测方法，其特征在于，所述检测方法包括：

确定检测特征；

以五元组为单位提取检测特征，将提取的检测特征规范化为二维数据矩阵；

将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；

根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。

2.根据权利要求1所述的检测方法，其特征在于，所述确定检测特征，包括：

选择TLS协议过程中的特征报文；

选择所述特征报文中的参数特征；

所述参数特征包括加密套件特征、扩展特征、域名特征、证书特征、公钥特征、统计特征和计算特征中的至少一者。

3.根据权利要求1所述的检测方法，其特征在于，以五元组为单位提取检测特征，将所述检测特征规范化为二维数据矩阵，包括：

将提取的每一组检测特征为列，并进行列方向的归一化。

4.根据权利要求3所述的检测方法，其特征在于，

所述特征权重确定模块包括：长度为所述二维数据矩阵列数的第一全连接层，以及位于所述全连接层后的softmax激活函数；

所述特征选择模块被配置为：将所述特征权重确定模块输出的权重和输入的二维数据矩阵的相对应的列分别相乘，得到经过特征选择后的输出；

所述特征判别模块包括：数个卷积池化块、一维的池化层、激活函数、扁平层和第二全连接层；所述卷积池化块中包括卷积核大小为x的一维卷积，卷积核数量为n；所述卷积池化块的个数根据所述特征选择模块输出的数据长度设置；所述扁平层用于将所述卷积池化块的输出进行扁平化后，输入所述第二全连接层；

所述激活函数模块包括sigmoid激活函数。

5.根据权利要求1所述的检测方法，其特征在于，训练好的卷积神经网络，通过以下步骤得到：

构建包括所述特征权重确定模块、特征选择模块、特征判别模块和激活函数模块的卷积神经网络；

设置所述卷积神经网络的训练轮数X；

将训练集输入所述卷积神经网络中进行训练，将预测错误的数据进行保存，并用验证集验证所述卷积神经网络的检测准确性；

将预测错误的数据加在所述训练集上，重新进行训练，并在训练之后用验证集验证检测准确性；

重复上述过程，直到训练轮数达到所述训练轮数X；

采用所述训练轮数中检测准确性最高的卷积神经网络，作为所述训练好的卷积神经网络。

6.根据权利要求5所述的检测方法，其特征在于，所述训练集中的训练样本采用以下步骤进行样本增广：

确定一个训练样本X_i以及与所述训练样本X_i具有近邻关系的K个训练样本；

从所述K个训练样本随机选择一个训练样本X_i(nn)，并同时生成一个0到1之间的随机数合成一个新样本

重复从所述K个训练样本随机选择一个训练样本X_i(nn)，并同时生成一个0到1之间的随机数合成一个新样本的步骤，每次得到一个新样本。

7.根据权利要求5所述的检测方法，其特征在于，所述检测方法还包括：采用贝叶斯优化对所述训练好的卷积神经网络中的参数进行优化。

8.一种基于卷积神经网络的恶意加密流量检测装置，其特征在于，所述检测装置包括：

特征确定模块，用于确定检测特征；

矩阵构建模块，用于以五元组为单位提取检测特征，将提取的检测特征规范化为二维数据矩阵；

检测模型模块，用于将所述二维数据矩阵输入训练好的卷积神经网络；所述卷积神经网络包括特征权重确定模块、特征选择模块、特征判别模块和激活函数模块；以及

结果确定模块，用于根据所述激活函数模块的输出确定所述五元组对应的数据是否为恶意加密流量。