小样本情形下恶意TLS流量细粒度检测研究.pdfVIP

摘要

为躲避防火墙、入侵检测系统的安全监管，TLS（TransportLayerSecurity）加密网络通

信已成为远程入侵攻击的主要通信方式。如何识别恶意TLS流量已成为当前网络安全防护领

域重要研究内容。现有研究工作主要以大量恶意TLS流量样本为基础，通过机器学习算法训

练出合适的识别模型。但实际用于网络监管时，现有方法仍面临众多挑战：（1）为便于网络

管理员及时制定、更新安全防御策略，检测方法应能识别出网络中存在的具体恶意软件，而

不仅仅是给出“是恶意流量”等粗略判断；（2）若以恶意软件个体为考察对象，大多数情况

下仅能捕获其产生的极少量加密TLS流量样本，难以满足现有方法的大样本训练数据要求。

为此，本文开展小样本情形下恶意TLS流量细粒度检测研究。具体研究内容如下：

首先，为准确理解恶意TLS流量特点，论文研究了恶意TLS流量数据集构建和特征分

析方法。论文针对公开数据集和Stratosphere，利用Virustotal进行

自动标注，以排除正常TLS流量减少数据干扰。针对获得的恶意TLS流量，研究分析其报

文长度、报文方向和报文时间间隔分布等特征。从数据集中选择不同恶意软件家