多特征融合的煤矿网络加密恶意流量检测方法
霍跃华1
赵法起2
吴文昊2
1.中国矿业大学(北京)机电与信息工程学院,北京 100083;中国矿业大学(北京)网络与信息中心,北京 1000832.中国矿业大学(北京)机电与信息工程学院,北京 100083
摘要：针对煤矿网络面临由恶意软件所产生的安全传输层协议(TLS)加密恶意流量威胁和检测过程加密流量误报率高的问题,提出了一种基于多特征融合的煤矿网络TLS加密恶意流量检测方法.分析了 TLS加密恶意流量特征多元异构的特点,提取出煤矿网络TLS加密恶意流在传输过程中的连接特征、元数据和TLS加密协议握手特征,利用流指纹方法构造煤矿网络TLS加密流量特征集,并对该特征集中的特征进行标准化、独热编码和规约处理,从而得到一个高效样本集.采用决策树(DT)、K近邻(KNN)、高斯朴素贝叶斯(GNB)、L2逻辑回归(LR)和随机梯度下降(SGD)分类器5个子模型对上述特征集进行检验.为提高检测模型的鲁棒性,结合投票法原理将5个分类器子模型结合,构建了多模型投票(MVC)检测模型:将5个分类器子模型作为投票器,每个分类器子模型单独训练样本集,按照少数服从多数原则进行投票,得到每个样本的最终预测值.实验验证结果表明:所构建的特征集降低了样本集维度,提高了 TLS加密流量检测效率.DT分类器和KNN分类器在数据集上表现最好,达到了 99％以上的准确率,但是它们存在过拟合风险;LR分类器和SGD分类器子模型虽然也达到了90％以上的识别准确率,但这2个子模型的误报率过高;GNB分类器子模型表现最差,准确率只有82％,但该子模型具有误报率低的优势.MVC检测模型在数据集上准确率和召回率达99％以上,误报率为0.13％,提高了加密恶意流量的检出率,加密流量检测误报率为0,其综合性能优于其他分类器子模型.
关键词：煤矿网络安全入侵检测安全传输层协议TLS加密恶意流量机器学习多特征融合多模型投票检测
分类号：TD67(矿山电工)
资助基金：国家重点研发计划(2016YFC0801800)
论文发表日期：2022-07-10
在线出版日期：2025-08-15（本平台首次上网日期，不代表文献的发表时间）
页数：7( 142-148 )
英文信息