基于机器学习的TLS恶意加密流量检测方案

doi:10.11959/j.issn.2096-109x.2020008

网络与信息安全学报 ›› 2020, Vol. 6 ›› Issue (1): 77-83.doi: 10.11959/j.issn.2096-109x.2020008

基于机器学习的TLS恶意加密流量检测方案

骆子铭^1,²,许书彬¹,刘晓东¹

¹ 中国电子科技集团公司第五十四研究所，河北石家庄 050081
² 石家庄通信测控技术研究所，河北石家庄 050081

修回日期:2020-01-21 出版日期:2020-02-15 发布日期:2020-03-23
作者简介:骆子铭（1993- ），女，河北石家庄人，石家庄通信测控技术研究所硕士生，主要研究方向为网络安全|许书彬（1981- ），男，河北石家庄人，中国电子科技集团公司第五十四研究所研究员，主要研究方向为网络安全|刘晓东（1983- ），男，河北沧州人，中国电子科技集团公司第五十四研究所高级工程师，主要研究方向为网络安全
基金资助:
国家重点研发计划基金资助项目(2016YFB0800302);信息保障技术重点实验室基金资助项目(614211203020717)

Scheme for identifying malware traffic with TLS data based on machine learning

Ziming LUO^1,²,Shubin XU¹,Xiaodong LIU¹

¹ The 54th Research Institute of China Electronics Technology Group Corporation,Shijiazhuang 050081,China
² Shijiazhuang Communication Observation and Control Technology Institute,Shijiazhuang 050081,China

Revised:2020-01-21 Online:2020-02-15 Published:2020-03-23
Supported by:
The National Key R＆D Program of China(2016YFB0800302);Foundation of Science and Technology on Information Assurance Laboratory(614211203020717)

摘要/Abstract

摘要：

首先介绍了安全传输层（TLS，transport layer security）协议的特点、流量识别方法；然后给出了一种基于机器学习的分布式自动化的恶意加密流量检测体系；进而从 TLS 特征、数据元特征、上下文数据特征3个方面分析了恶意加密流量的特征；最后，通过实验对几种常见机器学习算法的性能进行对比，实现了对恶意加密流量的高效检测。

关键词: 安全传输层, 恶意加密流量, 机器学习

Abstract:

Based on analyzing the characteristics of transport layer security (TLS) protocol,a distributed automation malicious traffic detecting system based on machine learning was designed.The characteristics of encrypted malware traffic from TLS data,observable metadata and contextual flow data was extracted.Support vector machine,random forest and extreme gradient boosting were used to compare the performance of the mainstream malicious encryption traffic identification which realized the efficient detection of malicious encryption traffic,and verified the validity of the detection system of malicious encryption traffic.

Key words: transport layer security, encrypted malware traffic, machine learning

中图分类号:

TP393

骆子铭,许书彬,刘晓东. 基于机器学习的TLS恶意加密流量检测方案[J]. 网络与信息安全学报, 2020, 6(1): 77-83.

Ziming LUO,Shubin XU,Xiaodong LIU. Scheme for identifying malware traffic with TLS data based on machine learning[J]. Chinese Journal of Network and Information Security, 2020, 6(1): 77-83.

图/表 9

表1

表2

图2

图1

图3

表3

图4

图5

图6

参考文献 13

[1]	张蕾, 崔勇, 刘静 ,等. 机器学习在网络空间安全研究中的应用[J]. 计算机学报, 2018(9): 1943-1975.
	ZHANG L , CUI Y , LIU J ,et al. Application of machine learning in cyberspace security research[J]. Journal of Computer, 2018(9): 1943-1975.
[2]	王伟 . 基于深度学习的网络流量分类及异常检测方法研究[D]. 合肥:中国科学技术大学, 2018.
	WANG W . Deep learning for network traffic classification and anomaly detection[D]. Hefei:University of Science and Technology of China, 2018
[3]	ANDERSON B , MCGREW D , . Identifying encrypted malware traffic with contextual flow data[C]// ACM Workshop on Artificial Intelligence ＆ Security. 2016: 36-41.
[4]	ANDERSON B , MCGREW D . Machine learning for encrypted malware traffic classification:accounting for noisy labels and non-stationarity[C]// The 23rd ACM SIGKDD International Conference. 2017: 1725-1729.
[5]	王琳, 封化民, 刘飚 ,等. 基于混合方法的SSL VPN加密流量识别研究[J]. 计算机应用与软件, 2019,36(2): 321-328.
	WANG L , FENG H M , LIU B ,et al. SSL VPN encrypted traffic identification based on hybrid method[J]. Computer Applications and Software, 2019,36(2): 321-328.
[6]	鲁刚, 郭荣华, 周颖 ,等. 恶意流量特征提取综述[J]. 信息网络安全, 2018,213(9): 7-15.
	LU G , GUO R H , ZHOU Y ,et al. Review of malicious traffic feature extration[J]. Netinfo Security, 2018,213(9): 7-15.
[7]	王可 . MD5算法研究[J]. 中文信息, 2002(2): 78-81.
	WANG K . A research on MD5[J]. Chinese Information, 2002(2): 78-81.
[8]	SHIRAVI A , SHIRACI H , TAVALLAEE M ,et al. Toward developing a systematic approach to generate benchmark datasets for intrusion detection[J]. Computers ＆ Security, 2012,31(3): 357-374.
[9]	LASHKARI A H , DRAPER-GIL G , MAMUN M S I ,et al. Characterization of encrypted and VPN traffic using time-related features[C]// International Conference on Information Systems Security＆ Privacy. 2016, 407-414.
[10]	朴杨, 鹤然, 任俊玲 . 基于Stacking的恶意网页集成检测方法[J]. 计算机应用, 2019,39(4): 153-160.
	PIAO Y , HE R , REN J L . Malicious webpage integrated detection method based on stacking ensemble algorithm[J]. Journal of Computer Applications, 2019,39(4): 153-160.
[11]	刘铭, 吴朝霞 . 支持向量机理论与应用[J]. 科技视界, 2018,245(23): 73-74.
	LIU M , WU Z X . Theory and application of support vector machine[J]. Science and Technology Vision, 2018,245(23): 73-74.
[12]	BREIMAN L . Random forest[J]. Machine Learning, 2001: 1-33.
[13]	CHEN T , GUESTRIN C . XGBoost:a scalable tree boosting system[C]// The 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining. 2016.

TLS参数名称	说明
TLS扩展	一组长度值后紧跟一组扩展类型值，用于描述在TLS流的Hello消息中观察到的TLS扩展使用情况
TLS扩展长度	在数据流的TLS Hello消息中观察到的最多前N个TLS扩展的扩展长度
TLS密码套件	由客户端提供或TLS流中的服务端选择的最多包含N个密码套件的密码套件使用情况
TLS记录长度	TSL流中最多前N条记录的长度值顺序
TLS记录时间	TLS流中最多前N条记录的TLS到达间隔时间的顺序
TLS内容类型	TLS流中最多前N条记录的ContentType值的顺序
TLS握手类型	TLS流中最多前N条记录的HandshakeType值的顺序

恶意软件家族	选择的密码套件	最常选用的扩展	客户端公钥长度
Bergat	TLS_RSA_WITH_3DES_EDE_CBC_SHA	None	2 048 bit (RSA)
Deshacop	TLS_RSA_WITH_3DES_EDE_CBC_SHA	SessionTicket TLS	2 048 bit (RSA)
Dridex	TLS_RSA_WITH_AES_128_CBC_SHA	ec_point_formats supported_groups renegotiation_info	2 048 bit (RSA)
Dynamer	TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256	SessionTicket TLS	512 bit (ECDHE_RSA)
Kazy	TLS_RSA_WITH_3DES_EDE_CBC_SHA	None	2 048 bit (RSA)
Parite	TLS_RSA_WITH_3DES_EDE_CBC_SHA	None	2 048 bit (RSA)
Razy	TLS_RSA_WITH_RC4_128_SHA	None	2 048 bit (RSA)

评价标准	参数意义
TP（true positives）	恶意加密流量被分类器预测为正例的个数
TN（true negatives）	良性流量被分类器预测为负例的个数
FP（false positives）	良性流量被分类器预测为正例的个数
FN（false negatives）	恶意加密流量被分类器预测为负例的个数

[1]	夏锐琪, 李曼曼, 陈少真. 基于机器学习的分组密码结构识别[J]. 网络与信息安全学报, 2023, 9(3): 79-89.
[2]	韦南, 殷丽华, 宁洪, 方滨兴. 本科“机器学习”课程教学改革初探[J]. 网络与信息安全学报, 2022, 8(4): 182-189.
[3]	郭世泽, 张帆, 宋卓学, 赵子鸣, 赵新杰, 王小娟, 罗向阳. 基于流谱理论的SSL/TLS协议攻击检测方法[J]. 网络与信息安全学报, 2022, 8(1): 30-40.
[4]	黄诚, 孙明旭, 段仁语, 吴苏晟, 陈斌. 面向项目版本差异性的漏洞识别技术研究[J]. 网络与信息安全学报, 2022, 8(1): 52-62.
[5]	张颖君,刘尚奇,杨牧,张海霞,黄克振. 基于日志的异常检测技术综述[J]. 网络与信息安全学报, 2020, 6(6): 1-12.
[6]	付溪,李晖,赵兴文. 网络钓鱼识别研究综述[J]. 网络与信息安全学报, 2020, 6(5): 1-10.
[7]	何康,祝跃飞,刘龙,芦斌,刘彬. 敌对攻击环境下基于移动目标防御的算法稳健性增强方法[J]. 网络与信息安全学报, 2020, 6(4): 67-76.
[8]	袁福祥,刘粉林,刘翀,刘琰,罗向阳. MLAR：面向IP定位的大规模网络别名解析[J]. 网络与信息安全学报, 2020, 6(4): 77-94.
[9]	黄伟,刘存才,祁思博. 针对设备端口链路的LSTM网络流量预测与链路拥塞方案[J]. 网络与信息安全学报, 2019, 5(6): 50-57.
[10]	宋蕾, 马春光, 段广晗. 机器学习安全及隐私保护研究进展[J]. 网络与信息安全学报, 2018, 4(8): 1-11.
[11]	明拓思宇, 陈鸿昶. 文本摘要研究进展与趋势[J]. 网络与信息安全学报, 2018, 4(6): 1-10.
[12]	王正琦,冯晓兵,张驰. 基于两层分类器的恶意网页快速检测系统研究[J]. 网络与信息安全学报, 2017, 3(8): 44-60.
[13]	张茜,延志伟,李洪涛,耿光刚. 网络钓鱼欺诈检测技术研究[J]. 网络与信息安全学报, 2017, 3(7): 7-24.
[14]	张东,张尧,刘刚,宋桂香. 基于机器学习算法的主机恶意代码检测技术研究[J]. 网络与信息安全学报, 2017, 3(7): 25-32.
[15]	孙博文,黄炎裔,温俏琨,田斌,吴鹏,李祺. 基于静态多特征融合的恶意软件分类方法[J]. 网络与信息安全学报, 2017, 3(11): 68-76.

基于机器学习的TLS恶意加密流量检测方案

Scheme for identifying malware traffic with TLS data based on machine learning

在线阅读

pdf下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 9

参考文献 13

相关文章 15

Metrics

推荐阅读 0