基于傳輸層會(huì)話行為特征的惡意流量識(shí)別系統(tǒng)實(shí)現(xiàn).pdf

1、網(wǎng)絡(luò)安全目前已經(jīng)是廣大網(wǎng)購愛好者以及企業(yè)、政府等群體的必要需求，惡意代碼就成為威脅網(wǎng)絡(luò)安全的重要隱患，準(zhǔn)確高效實(shí)時(shí)地識(shí)別各種惡意軟件是目前的熱點(diǎn)需求?；谏疃劝臋z測技術(shù)目前被一些產(chǎn)品應(yīng)用，識(shí)別準(zhǔn)確率也相對很高，但是這種方法對于一些加密傳輸數(shù)據(jù)的惡意流量來說識(shí)別率有所下降，同時(shí)也遇到用戶隱私的阻礙使得這種技術(shù)應(yīng)用受到限制。對于網(wǎng)絡(luò)傳輸層數(shù)據(jù)包的會(huì)話行為特征識(shí)別技術(shù)已經(jīng)得到廣大的研究，并且也有一些產(chǎn)品出現(xiàn)，但是這種技術(shù)的識(shí)別準(zhǔn)確率相對于深

2、度包技術(shù)較低。本課題是將上述三種技術(shù)的優(yōu)勢結(jié)合，設(shè)計(jì)一個(gè)系統(tǒng)，提高識(shí)別惡意流量的準(zhǔn)確性和實(shí)時(shí)性，以及提高識(shí)別時(shí)整個(gè)系統(tǒng)所占用的內(nèi)存，減少識(shí)別時(shí)間。
　　本課題在研究惡意流量的固定識(shí)別特征和會(huì)話行為特征的基礎(chǔ)上，設(shè)計(jì)一個(gè)組合的惡意流量識(shí)別系統(tǒng)。這個(gè)識(shí)別系統(tǒng)的原理是先運(yùn)用固定應(yīng)用端口和一些固定特征組合作為一個(gè)引擎模塊優(yōu)先識(shí)別，這樣為了提高準(zhǔn)確利率，然后再運(yùn)用傳輸層會(huì)話行為特征組合識(shí)別技術(shù)作為下一個(gè)識(shí)別模塊，最后結(jié)合兩個(gè)模塊的識(shí)別結(jié)果進(jìn)

3、行仲裁判定識(shí)別結(jié)果。在模塊設(shè)計(jì)的過程中，在引擎模塊的固定特征獲取時(shí)先大量抓取惡意代碼數(shù)據(jù)包分析特征并結(jié)合逆向分析工具進(jìn)行分析，總結(jié)固定識(shí)別特征。另外在研究網(wǎng)絡(luò)傳輸層數(shù)據(jù)包行為特征的基礎(chǔ)上，統(tǒng)計(jì)總結(jié)出了一種用8種組合數(shù)據(jù)包的會(huì)話特征對常見惡意代碼進(jìn)行檢測識(shí)別方法，根據(jù)這個(gè)方法再結(jié)合數(shù)據(jù)包數(shù)據(jù)部分固定特征設(shè)計(jì)一個(gè)惡意流量實(shí)時(shí)識(shí)別系統(tǒng)。實(shí)驗(yàn)結(jié)果表明采用這8個(gè)傳輸層數(shù)據(jù)包會(huì)話數(shù)據(jù)特征組合并固定引擎特征設(shè)計(jì)的系統(tǒng)對常見惡意代碼識(shí)別，不僅實(shí)時(shí)性很好