一种基于深度学习的加密流量异常检测方法与流程

本发明属于储能电站加密流量的异常检测，特别涉及一种基于深度学习的加密流量异常检测方法。

背景技术：

1、储能电站的各类运行数据位于调度生产大区，其与调度之间进行数据交换时，必须通过纵向加密装置。纵向加密装置之间的信道传输的是加密密文。因此，在纵向加密装置处设置检测点，可以在不对外暴露明文的生产数据基础上，通过对加密报文的流量特征、统计特征和部分加密信息检测，实现异常检测判别。

技术实现思路

1、本发明提供一种基于深度学习的加密流量异常检测方法，通过综合利用流量特征、统计特征和部分加密信息，提高加密流量异常检测的检测准确率和鲁棒性。

2、本发明具体为一种基于深度学习的加密流量异常检测方法，所述加密流量异常检测方法包括以下步骤：

3、步骤(1)：对加密报文数据进行预处理；

4、步骤(2)：对加密报文进行特征提取；

5、步骤(3)：进行特征糅合，得到综合特征向量；

6、步骤(4)：采用卷积神经网络模型cnn模型进行分类训练，得到一个前向流模型和反向流模型；

7、步骤(5)：根据所述前向流模型和所述反向流模型进行异常检测判别。

8、步骤(1)中对加密报文数据进行预处理具体方法为：

9、(11)读取pcap文件：使用scapy库读取pcap文件，解析出数据包的详细信息；

10、(12)提取5元组：从每个数据包中提取源ip、源端口、目的ip、目的端口和协议信息；

11、(13)划分前向流和反向流：根据5元组信息，将数据包划分为前向流和反向流；

12、(14)合并为完整流：将前向流和反向流合并，形成完整的网络会话流。

13、步骤(2)中对加密报文进行特征提取，分为两部分：统计特征和加密特征。

14、首先提取统计特征，统计特征主要包括与包的传输和会话相关的统计信息，包括流传输方向、包到达时间间隔和包长度的均值、方差、最小值、最大值、中位数，将前向流和反向流的统计特征分别形成向量作为后续模型的输入。

15、然后提取加密特征，从tls握手消息中提取报文类型、报文长度和tls版本信息，从x509证书中提取证书中的单词频率统计、证书颁发者和证书时间等特征。对于x509证书中的文本内容，用bert理解证书颁发者、主题、有效期等字段在整个证书中的语义关系。每个单词通过bert嵌入后，被表示为一个高维向量，这个向量包含了丰富的语义信息。

16、步骤(3)中进行特征糅合，得到综合特征向量的具体方法为：

17、为了方便后续输入，需要将统计特征和加密特征糅合成一个向量作为后续模型的输入。需要先对bert的输出向量进行pca降维，将高维bert嵌入向量用pca降到低维。然后将统计特征与低维bert输出进行拼接，再对所有特征进行标准化处理，同时标记为前向流或者反向流。

18、步骤(4)：采用卷积神经网络模型cnn模型进行分类训练，得到一个前向流模型和反向流模型，具体为：

19、对于上述特征，用cnn模型进行分类训练，由于前向流和反向流通常表现出不同的行为模式，例如，前向流可能包含更多的请求信息，而反向流可能包含更多的响应数据，我们将流量分为正常前向流，异常前向流，正常反向流和异常反向流。将特征糅合的结果(综合特征向量)进行0-1标准化后输入到cnn中，将正常流量的标签记为0，异常流量的标签记为1，进行分类训练，得到一个前向流模型和反向流模型。

20、步骤(5)中根据所述前向流模型和所述反向流模型进行异常检测判别，具体为：

21、对于一组新的数据，根据记录的历史ip地址推断是前向流还是反向流，然后输入到相应的模型进行分类。设置阈值为0.5，即将输出大于0.5归类到正常流量，小于0.5归类到异常流量。

22、与现有技术相比，有益效果是：

23、(1)提高准确率

24、本发明利用多种特征(统计特征、序列特征、明文特征等)，利用深度学习的方法学习特征信息并进行分类，从而有效提高了检测的准确率；

25、(2)增强检测鲁棒性

26、通过对多种特征进行训练，本发明能够在面对不同类型的恶意软件和多变的网络环境时，保持较高的检测性能。

1.一种基于深度学习的加密流量异常检测方法，其特征在于，所述加密流量异常检测方法包括以下步骤：

2.根据权利要求1所述的一种基于深度学习的加密流量异常检测方法，其特征在于，步骤(1)中对加密报文数据进行预处理具体方法为：

3.根据权利要求2所述的一种基于深度学习的加密流量异常检测方法，其特征在于，步骤(2)中对加密报文进行特征提取，分为两部分：统计特征和加密特征。

4.根据权利要求3所述的一种基于深度学习的加密流量异常检测方法，其特征在于，所述统计特征主要包括与包的传输和会话相关的统计信息，包括流传输方向、包到达时间间隔和包长度的均值、方差、最小值、最大值、中位数，将前向流和反向流的统计特征分别形成向量作为后续模型的输入。

5.根据权利要求4所述的一种基于深度学习的加密流量异常检测方法，其特征在于，提取所述加密特征，从tls握手消息中提取报文类型、报文长度和tls版本信息，从x509证书中提取证书中的单词频率统计、证书颁发者和证书时间特征；对于x509证书中的文本内容，用bert理解证书颁发者、主题、有效期等字段在整个证书中的语义关系；每个单词通过bert嵌入后，被表示为一个高维向量，该向量包含了丰富的语义信息。

6.根据权利要求5所述的一种基于深度学习的加密流量异常检测方法，其特征在于，步骤(3)中进行特征糅合，得到综合特征向量的具体方法为：

7.根据权利要求6所述的一种基于深度学习的加密流量异常检测方法，其特征在于，步骤(4)：采用卷积神经网络模型cnn模型进行分类训练，得到一个所述前向流模型和所述反向流模型，具体为：

8.根据权利要求7所述的一种基于深度学习的加密流量异常检测方法，其特征在于，步骤(5)中根据所述前向流模型和所述反向流模型进行异常检测判别，具体为：