加密流量不解密条件下的多模态行为异常检测方法及系统

本发明涉及多模态行为异常检测方案设计技术领域，具体涉及一种加密流量不解密条件下的多模态行为异常检测方法及系统。该方法包括：实时捕获网络加密流量数据包；在不解密前提下，并行提取流层统计、时序交互、加密学握手及上下文关联等多模态非解密特征；基于历史数据建立各类特征的动态正常行为基线模型；将实时特征与基线模型比对，通过多模态关联分析算法进行综合判定，输出异常检测结果；并在判定为异常时自动联动网络控制设备进行阻断。本发明彻底摆脱了对流量解密的依赖，通过多维度特征融合与动态基线技术，实现了对加密流量中异常行为的高精度、自适应检测与快速自动响应，有效解决了传统检测技术在加密环境下的失效问题。