北京观成科技有限公司

本发明涉及一种基于TLS载荷相似度的DoH恶意加密通信检测方法与系统，属于恶意加密流量分析技术领域，其中该方法包括：捕获网络加密流量，从中提取出TLS载荷序列，并将流中的TLS载荷序列存放在数组中；从数组中提取上行载荷序列数组；从上行载荷序列数组中统计唯一值及其出现次数构建初始簇集合；找到所有满足距离小于动态阈值的簇进行合并得到新簇集合；从新簇集合中剔除离群簇得到最终簇并基于此判断DoH通信流是否为伪装的恶意流量。本发明通过分析DoH加密恶意通信中无法伪装的行为特征，从TLS上行载荷序列中自动凝聚中心点，并根据簇的分布特征判别流量类型，摆脱了传统依赖域名白名单和心跳间隔检测的方法，减少了误报，提高了恶意流量的检测精确度。