一种基于行为分析的反弹型远控木马网络流量检测方法

    公开(公告)号:CN109379341A

    公开(公告)日:2019-02-22

    申请号:CN201811117592.X

    申请日:2018-09-21

    IPC分类号: H04L29/06

    摘要: 本发明公开了一种基于行为分析的反弹型远控木马网络流量检测方法,首先对训练样本进行TCP会话重组、会话特征提取及会话标记后,将会话特征及会话标记输入随机森林检测模型。通过对比不同参数下模型的指标性能,调整模型,并最终确定优化后的木马检测模型。然后对于探针上采集的实时原始流量数据进行TCP会话重组及会话特征提取,将会话特征输入第一阶段优化后的木马检测模型中,模型将其分类为木马流量或正常业务流量。本发明的技术效果在于,从木马自身特点所产生的流量特征出发,通过模型直接对流量文件进行检测,故本发明不依赖已有的木马特征库,也能够检测未知的新型远控木马,还能够检测出通信流量进行了加密的木马。

    一种基于流量分析的恶意站点访问拦截方法及检测系统

    公开(公告)号:CN109271790A

    公开(公告)日:2019-01-25

    申请号:CN201811153950.2

    申请日:2018-09-30

    IPC分类号: G06F21/56

    摘要: 本发明公开了一种基于流量分析的恶意站点访问拦截方法及检测系统,所述方法包括S1:构建基于流量数据中日志特征信息检测的恶意站点检测模型,其中,所述恶意站点模型针对检测出的恶意站点访问,进行访问拦截;S2:实时采集网络出口处的流量镜像数据包,并提取流量镜像数据包中的日志特征信息生成日志数据单元,再发送至日志缓存队列中;S3:基于S1构建的所述恶意站点检测模型对S2中的日志数据单元进行分析检测,并将检测后的IP地址-域名映射临时文件更新至DNS服务器的IP地址-域名映射文件中。本发明实现了对恶意站点的实时在线检测以及对检测出的恶意站点访问实现实时拦截,进而提高了网络系统的安全性。