本发明专利技术涉及一种用于恶意网络行为检测的方法和装置，该装置包括：计算模块，用于根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及，确定模块，用于根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。利用该方法和装置，能够提高对恶意网络行为检测的准确性。
【技术实现步骤摘要】
【专利摘要】本专利技术涉及一种用于恶意网络行为检测的方法和装置，该装置包括：计算模块，用于根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及，确定模块，用于根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。利用该方法和装置，能够提高对恶意网络行为检测的准确性。【专利说明】-种用于恶意网络行为检测的方法和装置
本专利技术涉及网络安全领域，尤其涉及一种用于恶意网络行为检测的方法和装置。
技术介绍
随着移动通信技术的进步，移动互联网得到了广泛发展。随之而来地，也出现了许 多针对移动互联网的网络攻击，这对移动互联网和移动终端产生了极大的威胁。 传统上，使用基于签名的匹配技术来检测移动互联网中的恶意网络行为。然而，恶 意网络行为并不是固定不变的，通常攻击者会对恶意网络行为做一些小的改变从而产生多 态和变形的恶意网络行为，但是，使用基于签名的匹配技术并不能有效检测多态和变形的 恶意网络行为。 为此，人们提出了许多数据挖掘技术来检测多态和变形的恶意网络行为。虽然相 对于基于签名的匹配技术，目前的数据挖掘技术能够更为有效地检测多态和变形的恶意网 络行为，但是检测的准确性仍然不够高，时常会出现误检的情形。
技术实现思路
考虑到现有技术的上述问题，本专利技术实施例提出一种用于恶意网络行为检测的方 法和装置，其能够提高对恶意网络行为检测的准确性。 按照本专利技术实施例的一种用于恶意网络行为检测的方法，包括：根据多个行为类 别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值， 得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类 另IJ，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为 训练样本训练得到；以及，根据所述多个相关程度值中的最大相关程度值是所述待检测的 网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个 恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意 网络行为。 其中，所述方法还包括：根据所述待检测的网络行为的行为特点，判定所述待检测 的网络行为所属的行为种类；以及，从分别对应于不同的行为种类的多个行为识别模型中， 选择与所判定的行为种类对应的行为识别模型，其中，所述多个行为识别模型的每一个包 括所述多个行为类别各自的特征参数，其中，所述计算进一步包括：根据所选择的行为识别 模型所包括的所述多个行为类别各自的特征参数，计算所述待检测的行为与所述多个行为 类别的每一个的相关程度值，得到所述多个相关程度值。 其中，所述方法还包括：将作为所述训练样本的所述已知的恶意网络行为和正常 网络行为划分为多个行为组，其中每一个行为组中的网络行为属于相同的行为种类；利用 聚类算法将所述多个行为组中的每一个行为组所包括的网络行为聚类为多个子行为组，每 一个子行为组所包括的网络行为属于所述多个行为类别的其中一个；以及，利用多分类器 训练算法分别对所述多个行为组中的每一个行为组所包括的各个子行为组中的网络行为 进行训练，得到所述多个行为识别模型。 其中，所述待检测的网络行为被确定所属的行为与所述待检测的网络行为实际所 属的行为不相同，以及，所述方法还包括：计算所述多个相关程度值中除了所述最大相关程 度值之外的其它相关程度值的乘积；检查所述最大相关程度值与所计算的乘积的比值是否 大于指定阈值；以及，如果检查结果为肯定，则利用增量学习算法使用所述待检测的网络行 为进行自学习训练，以更新所述多个行为识别模型。 其中，所述行为种类包括传播行为、远程控制行为、攻击行为。 按照本专利技术实施例的一种用于恶意网络行为检测的装置，包括：计算模块，用于根 据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的 相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个 恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网 络行为作为训练样本训练得到；以及，确定模块，用于根据所述多个相关程度值中的最大相 关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的 网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为 属于正常网络行为或恶意网络行为。 其中，所述装置还包括：判定模块，用于根据所述待检测的网络行为的行为特点， 判定所述待检测的网络行为所属的行为种类；以及，选择模块，用于从分别对应于不同的行 为种类的多个行为识别模型中，选择与所判定的行为种类对应的行为识别模型，其中，所述 多个行为识别模型的每一个包括所述多个行为类别各自的特征参数，其中，所述计算模块 进一步用于：根据所选择的行为识别模型所包括的所述多个行为类别各自的特征参数，计 算所述待检测的行为与所述多个行为类别的每一个的相关程度值，得到所述多个相关程度 值。 其中，所述装置还包括：划分模块，用于将作为所述训练样本的所述已知的恶意网 络行为和正常网络行为划分为多个行为组，其中每一个行为组中的网络行为属于相同的行 为种类；聚类模块，用于利用聚类算法将所述多个行为组中的每一个行为组所包括的网络 行为聚类为多个子行为组，每一个子行为组所包括的网络行为属于所述多个行为类别的其 中一个；以及，训练模块，用于利用多分类器训练算法分别对所述多个行为组中的每一个行 为组所包括的各个子行为组中的网络行为进行训练，得到所述多个行为识别模型。 其中，所述待检测的网络行为被确定所属的行为与所述待检测的网络行为实际所 属的行为不相同，以及，所述装置还包括： 相乘模块，用于计算所述多个相关程度值中除了所述最大相关程度值之外的其它 相关程度值的乘积；检查模块，用于检查所述最大相关程度值与所计算的乘积的比值是否 大于指定阈值；以及，更新模块，用于如果检查结果为肯定，则利用增量学习算法使用所述 待检测的网络行为进行自学习训练，以更新所述多个行为识别模型。 从上面的描述可以看出，本专利技术实施例的方案将网络行为的类别划分为包括正常 行为类别和若干恶意行为类别在内的两个以上行为类别，而不是如现有技术那样的将网络 行为的类别仅划分为正常行为类别和恶意行为类别的两个行为类别。网络行为类别划分越 细，就能减少不同类别的行为之间的干扰，对待检测的行为的检测越准确，因此，与现有技 术相比，本专利技术实施例的方案能够提高对恶意网络行为检测的准确性。 【专利附图】【附图说明】 本专利技术的其它特征、特点、优点和益处通过以下结合附图的详细描述将变得更加 显而易见。 图1示出了按照本专利技术一个实施例的多分类器训练过程的示意图。 图2示出了本文档来自技高网...
【技术保护点】
一种用于恶意网络行为检测的方法，包括：根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。
【技术特征摘要】
【专利技术属性】
技术研发人员：郭代飞，隋爱芬，林冠洲，郭涛，
申请(专利权)人：西门子公司，
类型：发明
国别省市：德国;DE
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。