融合多模态特征的恶意TLS流量检测方法

作     者：曾庆鹏 贺述明 柴江力 Zeng Qingpeng;He Shuming;Chai Jiangli

作者机构：南昌大学数学与计算机学院南昌330031 

出 版 物：《信息安全研究》 (Journal of Information Security Research)

年 卷 期：2025年第11卷第2期

页      面：130-138页

学科分类：12[管理学] 1201[管理学-管理科学与工程(可授管理学、工学学位)] 08[工学] 081201[工学-计算机系统结构] 0812[工学-计算机科学与技术（可授工学、理学学位）] 

主　　题：加密流量 网络安全 入侵检测 多模态 深度学习 

摘      要：恶意TLS流量检测旨在识别出利用TLS协议传输恶意活动的网络流量,由于TLS协议的加密特性,传统的基于文本特征的流量分析方法在面对加密流量时效果有限.为了解决这个问题,提出了一种融合多模态特征的恶意TLS流量检测方法(MTBRL),该方法从不同模态中提取和融合特征,实现对恶意TLS流量的检测.首先,通过专家经验进行特征工程,从加密流量中提取关键特征,包括协议版本、加密套件和证书信息等,对这些特征进行处理后将其转化为2维图像表示,再利用ResNet对这些图像进行编码,以提取图像的特征.其次,使用加密流量预训练的BERT对TLS流进行编码,从中学习到TLS流的上下文和语义特征.此外,使用LSTM对加密流量的包长度分布序列进行编码,以捕捉时序特征.最后通过特征融合技术整合不同模态特征,利用反向传播算法自动学习并优化模型的权重参数,以准确预测恶意TLS流量.实验结果表明,该方法在DataCon2020数据集上准确率、精确率、召回率和F1值分别达到94.94%,94.85%,94.15%和94.45%,显著优于传统机器学习和深度学习方法.