结合报文负载与流指纹特征的恶意流量检测

来源：计算机工程杂志2020年第11期北京时间：

作者：胡斌, 周志洪, 姚立红, 李建华

单位：上海交通大学 a. 网络空间安全学院;b. 上海市信息安全综合管理技术研究重点实验室, 上海 200240

摘要：SSL/TLS协议的恶意流量检测数据集来源单一，而传统检测方法通常将网络流量的五元组特征作为主要分类特征，但其在复杂网络环境下对于恶意流量的检测准确率较低。为此，提出一种改进的加密恶意流量检测方法。采用数据预处理方式将加密恶意流量划分为报文负载和流指纹两个特征维度，在规避五元组信息的情况下根据报文负载和流指纹特征描述网络流量的位置分布，并通过逻辑回归模型实现加密恶意流量检测。实验结果表明，在不依赖五元组特征的条件下，该方法对复杂网络环境下SSL/TLS协议加密恶意流量的检测准确率达到97.60%，相比使用五元组与报文负载特征的传统检测方法约提升36.05%。

关键词：SSL/TLS协议,恶意流量检测,五元组特征,逻辑回归模型,僵尸网络,报文负载特征,流指纹特征

基金资助：国家重点研发计划（2016YFB0800904）。