基于网络数据流分析的木马通信行为特征提取方法

摘要

本发明涉及一种基于网络数据流分析的木马通信行为特征提取方法；具体为：将木马通信过程分为三个阶段：建立连接阶段、连接保持无操作阶段和操作阶段；在建立连接阶段，进行DNS响应IP异常特征和DNS请求流量异常特征的提取；在连接保持无操作阶段，先将捕获的TCP协议数据按照网络会话进行整理，再提取如下会话统计特征：“心跳间隙”的平稳性小于阈值；在操作阶段，先将捕获的TCP协议数据按照网络会话进行整理，再提取如下特征：通信时长、通信小包数量、被控主机上传通信量、会话接收小包数量与会话小包数量的比值、被控端上传数据量与下载数据量的比值；本发明能够对木马通信进行全面的检测，具有较高的性能和计算效率。