【技術(shù)實(shí)現(xiàn)步驟摘要】
本專利技術(shù)涉及一種加密流量行為檢測(cè)方法與系統(tǒng)，用于惡意加密流量行為的檢測(cè)，屬于網(wǎng)絡(luò)安全流量分析。
技術(shù)介紹
1、惡意軟件更新以及新發(fā)現(xiàn)一種惡意工具之后，對(duì)其工具進(jìn)行分析之后提取到的流量特征，實(shí)現(xiàn)階段有各種不同的實(shí)現(xiàn)方式。當(dāng)前絕大多數(shù)檢測(cè)是通過(guò)suricta引擎來(lái)寫(xiě)規(guī)則腳本來(lái)實(shí)現(xiàn)對(duì)流量的檢測(cè)，但是該引擎檢測(cè)字段或者特征有限，有一些不能滿足豐富多樣的惡意流量的檢測(cè)；或者使用自研發(fā)的程序來(lái)實(shí)現(xiàn)檢測(cè)，自研程序能夠滿足，存在研發(fā)成本以及時(shí)間成本不夠靈活。并且市場(chǎng)上大多數(shù)的流量檢測(cè)程序大多是根據(jù)惡意工具流量本身的規(guī)則來(lái)實(shí)現(xiàn)流量檢測(cè)，沒(méi)有根據(jù)惡意工具的流量行為角度出發(fā)分析流量的行為特征來(lái)檢測(cè)流量是否存在惡意，單純的流量特征可能工具升級(jí)之后需要重新檢測(cè)，但是流量行為基本可以一直存在。
2、基于現(xiàn)有技術(shù)存在上述問(wèn)題，提出本專利技術(shù)。
技術(shù)實(shí)現(xiàn)思路
1、為了解決至少一個(gè)上述問(wèn)題，本專利技術(shù)提供一種加密流量行為檢測(cè)方法與系統(tǒng)，用于惡意加密流量行為的檢測(cè)。
2、為實(shí)現(xiàn)上述目的，根據(jù)本專利技術(shù)的第一個(gè)方面，提供一種加密流量行為檢測(cè)方法，并采用如下技術(shù)方案：
3、一種加密流量行為檢測(cè)方法包括：步驟一：對(duì)從預(yù)設(shè)規(guī)則列表中提取的規(guī)則進(jìn)行解析并分類，得到一分類結(jié)果；步驟二：將分類結(jié)果與pcap包的提取特征進(jìn)行匹配，得到一匹配結(jié)果；步驟三：對(duì)匹配結(jié)果進(jìn)行判斷，若匹配，將匹配結(jié)果輸出，若不匹配，返回執(zhí)行步驟二。
4、進(jìn)一步地，分類結(jié)果包括但不限于：方向類型包括：方向，客戶
5、進(jìn)一步地，步驟一還包括：構(gòu)建預(yù)設(shè)規(guī)則列表，包括：規(guī)則包括多個(gè)表達(dá)式，表達(dá)式包括：關(guān)鍵詞、關(guān)系符號(hào)以及值；關(guān)鍵詞包括：數(shù)字類型、字符串類型以及數(shù)組類型。
6、根據(jù)本專利技術(shù)的第一個(gè)方面，提供一種加密流量行為檢測(cè)系統(tǒng)，并采用如下技術(shù)方案：
7、一種加密流量行為檢測(cè)系統(tǒng)包括：分類模塊，用于對(duì)從預(yù)設(shè)規(guī)則列表中提取的規(guī)則進(jìn)行解析并分類，得到一分類結(jié)果；匹配模塊，用于將分類結(jié)果與pcap包的提取特征進(jìn)行匹配，得到一匹配結(jié)果；判斷模塊，用于對(duì)匹配結(jié)果進(jìn)行判斷，若匹配，將匹配結(jié)果輸出，若不匹配，返回執(zhí)行匹配模塊。
8、進(jìn)一步地，分類結(jié)果包括但不限于：方向類型包括：方向，客戶端國(guó)家、服務(wù)端國(guó)家；基礎(chǔ)類型：長(zhǎng)度、字節(jié)大小、上行包數(shù)、下行包數(shù)；協(xié)議類型：tls協(xié)議、tls?clienthello、tls客戶端certificate、tls?key_exchange；載荷類型：載荷長(zhǎng)度、載荷內(nèi)容、載荷內(nèi)容計(jì)算；單流行為類型：tls存在心跳行為，上下行載荷比例；多流行為類型：tls多流上下行載荷比例，tls?app?data中存在0長(zhǎng)的數(shù)量、比例。
9、進(jìn)一步地，分類模塊還包括：構(gòu)建模塊用于，構(gòu)建預(yù)設(shè)規(guī)則列表，包括：規(guī)則包括多個(gè)表達(dá)式，表達(dá)式包括：關(guān)鍵詞、關(guān)系符號(hào)以及值；關(guān)鍵詞包括：數(shù)字類型、字符串類型以及數(shù)組類型。
10、根據(jù)本專利技術(shù)的第三個(gè)方面，提供一種智能終端，并采用如下技術(shù)方案：
11、智能終端包括：數(shù)據(jù)采集裝置、處理器和存儲(chǔ)器；所述數(shù)據(jù)采集裝置用于采集數(shù)據(jù)；所述存儲(chǔ)器用于存儲(chǔ)一個(gè)或多個(gè)程序指令；所述處理器，用于執(zhí)行一個(gè)或多個(gè)程序指令，用以執(zhí)行本專利技術(shù)提供的檢測(cè)方法。
12、根據(jù)本專利技術(shù)的第四個(gè)方面，提供一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，并采用如下技術(shù)方案：
13、一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)包含一個(gè)或多個(gè)程序指令，所述一個(gè)或多個(gè)程序指令用于執(zhí)行本專利技術(shù)提供的檢測(cè)方法。
14、本專利技術(shù)的有益效果主要體現(xiàn)在：
15、本專利技術(shù)通過(guò)提取流量的關(guān)鍵詞、連接符、關(guān)系來(lái)描述惡意加密流量行為，并通過(guò)惡意加密流量行為引擎來(lái)解析描述規(guī)則，從而實(shí)現(xiàn)惡意加密流量行為的檢測(cè)。流量引擎通過(guò)對(duì)數(shù)據(jù)流量pcap包進(jìn)行解析提取特征，以及解析該行為檢測(cè)引擎提供的語(yǔ)法寫(xiě)的檢測(cè)規(guī)則，將解析后的規(guī)則進(jìn)行pcap提取的特征進(jìn)行匹配，判斷該數(shù)據(jù)流量記錄是否符合該規(guī)則，從而確定是否告警。
本文檔來(lái)自技高網(wǎng)...【技術(shù)保護(hù)點(diǎn)】
1.一種加密流量行為檢測(cè)方法，其特征在于，包括：
2.根據(jù)權(quán)利要求1的檢測(cè)方法，其特征在于，分類結(jié)果包括但不限于：
3.根據(jù)權(quán)利要求1的檢測(cè)方法，其特征在于，步驟一還包括：構(gòu)建預(yù)設(shè)規(guī)則列表，包括：
4.一種加密流量行為檢測(cè)系統(tǒng)，其特征在于，包括：
5.根據(jù)權(quán)利要求4的檢測(cè)系統(tǒng)，其特征在于，分類結(jié)果包括但不限于：
6.根據(jù)權(quán)利要求4的檢測(cè)系統(tǒng)，其特征在于，分類模塊還包括：構(gòu)建模塊用于，構(gòu)建預(yù)設(shè)規(guī)則列表，包括：
7.一種智能終端，其特征在于，所述智能終端包括：數(shù)據(jù)采集裝置、處理器和存儲(chǔ)器；
8.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)中包含一個(gè)或多個(gè)程序指令，所述一個(gè)或多個(gè)程序指令用于執(zhí)行如權(quán)利要求1-3任一項(xiàng)所述的檢測(cè)方法。
【技術(shù)特征摘要】
1.一種加密流量行為檢測(cè)方法，其特征在于，包括：
2.根據(jù)權(quán)利要求1的檢測(cè)方法，其特征在于，分類結(jié)果包括但不限于：
3.根據(jù)權(quán)利要求1的檢測(cè)方法，其特征在于，步驟一還包括：構(gòu)建預(yù)設(shè)規(guī)則列表，包括：
4.一種加密流量行為檢測(cè)系統(tǒng)，其特征在于，包括：
5.根據(jù)權(quán)利要求4的檢測(cè)系統(tǒng)，其特征在于，分類結(jié)果包括但不限于：
【專利技術(shù)屬性】
技術(shù)研發(fā)人員：呂麗霞，梁易超，
申請(qǐng)(專利權(quán))人：北京觀成科技有限公司，
類型：發(fā)明
國(guó)別省市：
還沒(méi)有人留言評(píng)論。發(fā)表了對(duì)其他瀏覽者有用的留言會(huì)獲得科技券。