[发明专利]基于恶意网络流量词库的恶意软件检测可视化方法及系统

摘要

本发明公开了基于恶意网络流量词库的恶意软件检测可视化方法及系统；包括如下步骤：对HTTP网络流的内容进行单词分割，并建立恶意网络流量词库；训练恶意软件检测模型；对待检测的HTTP网络流的流内容进行单词分割，分割成单词集合；利用得到的词库将单词集合进行向量化处理；将词向量输入到训练得到的恶意软件检测模型中，恶意软件检测模型通过计算给出检测结果；如果待检测HTTP网络流被预测为恶意流量，找到所述恶意流量的HTTP网络流的源头app，将源头app标记为恶意app；计算恶意网络流中单词的权重；恶意网络流的流内容可视化。本发明的有益效果：充分解决了恶意流量检测过程对用户的透明性问题。

主权项

1.基于恶意网络流量词库的恶意软件检测可视化方法，其特征是，包括如下步骤：步骤(1)：对HTTP网络流的内容进行单词分割，并建立恶意网络流量词库；步骤(2)：训练恶意软件检测模型；步骤(3)：对待检测的HTTP网络流的流内容进行单词分割，分割成单词集合；步骤(4)：利用步骤(1)得到的词库将步骤(3)的单词集合进行向量化处理；步骤(5)：利用步骤(4)将单词集合进行向量化处理得到的词向量输入到步骤(2)训练得到的恶意软件检测模型中，恶意软件检测模型通过计算给出检测结果；如果待检测HTTP网络流被预测为恶意流量，找到所述恶意流量的HTTP网络流的源头app，将源头app标记为恶意app；进入步骤(6)；步骤(6)：计算预测结果为恶意的网络流产生的所有单词的权重；步骤(7)：恶意网络流的流内容可视化；所述步骤(6)的步骤为：步骤(6‑1)：遍历预测为恶意的HTTP网络流组成的单词词集，判断是否遍历结束，如果是就结束；如果否就进入步骤(6‑2)；步骤(6‑2)：如果当前遍历的单词也存在恶意网络流量词库中，则计算出单词的词频‑逆文档频率tf‑idf，否则，将单词对应的tf‑idf值设为0；并将得到的值加入到词频‑逆文档频率TF‑IDF列表中；当完成所有单词的遍历之后，就得到恶意网络流中每个单词的词频‑逆文档频率tf‑idf；转向步骤(7)；所述步骤(7)的步骤为：步骤(7‑1)：排序，对词频‑逆文档频率TF‑IDF列表按照tf‑idf值从大到小的顺序进行排序；步骤(7‑2)：可视化参数配置；所述参数包括：可视化图像的背景颜色、最大字体大小、字体样式、字体颜色、词间隔、词排列顺序和遮罩图形；步骤(7‑3)：根据每个词的词频‑逆文档频率tf‑idf值和步骤(7‑2)设置的参数使用python语言的wordcloud库绘制恶意网络流流内容的可视化图像。