0x00 恶意加密流量介绍

互联网的加密数据逐年上升,Gartner估计2019年80%以上的是加密流量.传统的安全产品已无法满足现有的安全态势需求，如何利用机器学习快速检测未知威胁，并尽快做出响应，是网络安全态势感知中的关键问题。目前行业的方法主要分为3类:基于统计学习方法,基于joy工具提取特征的分类方法,基于pcap转图像的分类方法. “TLS 恶意流量”指采用 TLS (TLS，transport layer security)协议加密的恶意流量。TLS 协议是由握手协议、记录协议、更改密文协议和警报协议组成的。

分类目的: 判断流量的黑白(二分类)以及所属的病毒家族(多分类)

0x00 基于统计学习方法

• 恶意流量与良性流量的统计特征差别主要表现在数据包的大小、到达时间序列和字节分布。数据包的长度受 UDP、TCP 或者 ICMP 协议中数据包的有效载荷大小影响，如果数据包不属于以上协议，则被设置为 IP 数据包的大小。上下文数据特征:上下文数据包括 HTTP 数据和 DNS 数据。

优点

• 适合在长期统计恶意流量的基础上做统计分析.

缺点

• 需要大量的数据作为统计分析的样本,目前的样本数量条件难以满足.

0x01 基于joy工具提取特征的分类方法

优点

• 输入的特征维度较多,方法比较准确

缺点

• 计算量大

0x02 基于pcap转图像的分类方法

优点

• 输入的特征维度较多,方法比较准确

缺点

• 计算量大

1x00 基础理论教程