利用机器学习方法检测识别TLS加密恶意流量

摘要：本文总结提出了一种主流的机器学习加密流量分析的方法

如何在不侵犯个人隐私的前提下，在加密流量中检测恶意攻击行为，为了找到一种切实可行的“在加密流量中检测恶意攻击行为”的方法，Infosec团队借鉴了Cisco公司高级安全研究小组（Cisco Advanced Security Research）的一个研究项目：基于NetFlows的恶意行为检测技术。研究人员用了两年的时间找到了问题的解决方法。通过分析大量的TLS数据流、恶意样本以及捕获的数据包，研究人员发现TLS数据流中的元数据（明文）包含了无法隐藏或者加密的指纹信息。TLS数据流可被用于模糊明文数据，但同时必须生成一组“可观测的复杂参数”，后者可用于训练数据模型（通过机器学习）。当一个TLS数据流开始后，会先执行一次握手。客户端（如Chrome浏览器）会向服务端（如FACEBOOK网站）发送一个ClientHello的消息，该消息包括一组参数（包括加密算法、版本等信息）。像ClientHello的这种TLS元数据主要在加密数据传输前进行交互，没有被加密。这样，数据模型就可以通过分析元数据来检测恶意攻击行为，而不需要对加密数据进行解密操作。最新的测试结果表明，ETA测试模型不仅不需解密数据，同时也具有较高的准确率。当只分析Netflow的特征时，ETA检测恶意行为的准确率为67%，当加入SPL（Service Packet Length）、DNS、TLS元数据、HTTP等多种特征时，准确率跃会升至99%。

 

加密一直都是保护用户通讯隐私的重要特性，可如果恶意程序在传播过程中也加密的话，对这样的流量做拦截感觉就麻烦了很多。谈到加密，TLS（Transport Layer Security Protocol，传输层安全协议）就是当前使用非常广泛的协议：国外部分研究机构的数据显示，已有至多60%的网络流量采用TLS，当然也包括一些恶意程序（虽然大约只有10%）。

2015年，Cisco的infosec 团队面临一个亟待解决的问题：如何在不侵犯个人隐私的前提下，在加密流量中检测恶意攻击行为，以确保公司员工的信息安全。但在当时可行的方法只有一个：先解密相关的加密流量（如SSL和TLS），再检测恶意攻击行为。

中间人攻击（MITM:Man-In-The-Middle）是他们需要检测防御的主要对象，但在检测的同时也对个人隐私造成了损害（因为需要将个人计算机与银行、邮件服务器之间的加密流量解密）。此外，这种检测的代价也非常高，如需要管理用于检测后重复签名的SSL证书、降低网络服务的用户体验等。

针对该问题，Infosec团队决定寻找一个不影响公司正常网络业务的新检测方法。

一个复杂但未解决的问题

Cisco在本周宣布将推出