一种基于多层联合分析的 HTTP隧道木马检测方法

针对现有的基于网络层或传输层的木马通信行为检测方法应用到 HTTP 隧道木马的检测中识别精度较低的问题，提出一种基于多层联合分析的 HTTP 隧道木马检测方法。从应用层、传输层和网络层三个层面提取 HT-TP 会话过程中区分隧道木马通信和正常通信的行为统计特征，采用基于主动学习的 SVM算法生成分类规则，建立检测系统。实验结果表明，基于多层联合分析的检测方法降低了已有方法的误报率和漏报率，并且引入主动学习方法有效减少了人工标记的样本数量，提高了基于通信行为分析的 HTTP 隧道木马检测方法的实用性。