一种基于证书特征泛化和服务器变迁行为的SSL/TLS加密恶意服务发现方法

摘要

本发明涉及一种基于证书特征泛化和服务器变迁行为的SSL/TLS加密恶意服务发现方法。该方法包括1)对已知恶意服务的证书进行采集；2)提取采集的证书的属性，根据不同服务类型对证书进行分类，从各类证书的属性域和属性关系中提取泛化特征；3)基于提取的泛化特征，在真实网络环境中进行基于证书泛化特征的潜在恶意服务发现。如果步骤2)无法提取泛化特征，则通过跟踪已知恶意服务器的证书的变迁行为来发现证书变化规律，进而发现恶意服务。本发明能够针对SSL/TLS加密的远程控制类恶意服务，在可控范围内合理筛选，扩大发现的恶意服务器集合，从而为进一步深入安全分析及取证提供依据。