基于海量网络行为分析的SSL/TLS加密恶意行为检测研究

The detection of SSL/TLS encrypted malicious behavior plays a very important role in encrypted network behavior analysis, network user behavior management, data leakage and covert attack discovery. In view of the fact that there is no systematic research and practical solutions, we will explore a solution based on the measurement and analysis of massive network behaviors of server certificate, client behavior, server behavior, as well as the protocol mimicry behavior, et.al. We will focus on the Internet digital certificate database based on the combination of active and passive measurement, the large-scale user network behavior database based on passive measurement, the malicious behavior camouflage discovery based on protocol state and entity behavior, and explore the malicious behavior detection scheme based on the analysis of massive network behavior data, striving to achieve the effective detection of malicious behaviors such as Trojans and botnet. This project is meaningful for hidden malicious behavior detection, covert network attack clues discovery, forensic analysis and network supervision.

SSL/TLS加密恶意行为检测在加密网络行为分析，用户网络行为管理，数据泄露和隐蔽攻击发现等方面非常重要。鉴于目前尚无系统性的研究和实用的解决方案，我们将基于海量网络行为测量与分析，从服务器数字证书、客户端行为、服务器行为、协议伪装对抗行为等多个方面研究解决方法。重点研究基于主被动结合测量的互联网数字证书库和基于被动测量的大规模用户网络行为知识库构建，基于协议状态和实体行为的伪装等恶意对抗行为发现等，并探索基于海量网络行为大数据分析的加密恶意行为检测方案，力争实现针对窃密木马、僵尸网络等典型恶意行为的有效检测。本项目对于研究通用加密场景下隐蔽恶意行为检测方法，隐蔽式网络攻击线索的发现，取证分析，攻击溯源，网络监管等具有重要意义。

SSL/TLS加密恶意行为检测在加密网络行为分析，用户网络行为管理，数据泄露检测和隐蔽攻击发现等方面非常重要。尤其是在网络通信加密化的今天，互联网流量朝着全加密化方向演进，传统内容检测机制面临全面失效，亟需探索加密场景下网络行为的识别方法。本项目重点研究了基于大规模测量的海量加密网络行为数据集构建，基于机器学习的加密流量分类，加密恶意服务与异常行为检测，基于知识库和多维分析加密对抗恶意行为检测，新型加密网络协议跟踪与测量分析等内容。首先，在SSL/TLS的服务测量与知识库构建方面，形成了测量方法论，完成了基于大规模测量的海量加密网络行为数据集构建，构建了数量巨大的证书库；完成了加密行为指纹提取，指纹构建关键技术研究，大规模用户行为统计信息库的构建及分析方法。其次，探索了基于人工智能技术在加密流量分类和加密恶意行为识别领域的可行性和应用问题。原始加密流量的分类识别方面，针对加密流量分析的三个领域应用分类，web分类，视频流分类三个领域，探索了基于机器学习的技术方案，包括前沿的深度神经网络，深度森林，以及集成学习，度量学习等在本领域的应用，并对私有加密协议的细粒度分类进行了研究。再次，在加密恶意行为的检测方法论方面，经过研究探索，确立了基于流量指纹，证书库，行为知识库的行为检测方案，分别从内容检测、资源标识检测和行为特异性检测三个维度结合人工智能技术进行层次识别的恶意行为检测方案。本项目的研究可以视为面向流量全加密化场景的行为分析技术的探索。本项目的成果可用于一般性的以流量数据或加密后的行为数据为输入进行行为识别的网络安全或网络管理业务场景中，可应用于国家级，企业级环境。