公开(公告)号：CN119299214A

公开(公告)日：2025-01-10

申请号：CN202411654640.4

申请日：2024-11-19

Applicant: 哈尔滨工业大学

Inventor： 胡智超 ,  刘立坤 ,  李竑杰 ,  余翔湛 ,  葛蒙蒙 ,  刘海心 ,  李卓凌 ,  秦浩伦 ,  宋晨 ,  王邦国 ,  牟铎 ,  张垚 ,  张靖宇 ,  周杰 ,  傅言晨 ,  李岱林

IPC: H04L9/40 ,  G06F18/214

Abstract: 一种基于日志的APT攻击检测与溯源方法，属于攻击检测技术领域。为解决APT攻击检测的高效、细粒度、精确性，本发明包括采集原始的系统日志数据，然后对原始的系统日志数据进行预处理，得到数据集；基于4种操作类型构建溯源图。所述4种操作类型包括文件操作、进程操作、权限操作和网络操作；使用BERT模型和VAE模型进行节点异常检测，获得威胁节点集合；基于得到的威胁节点集合以及溯源图，使用斯坦纳树算法获得包括所有威胁节点的攻击路径。本发明适于在不具备大量已标注样本和先验知识的情况下进行学习，可以克服传统的算法无法检测出零日攻击的问题，并且能够从大批量的系统日志中提取出简洁的APT攻击路径溯源图。

公开(公告)号：CN118713900A

公开(公告)日：2024-09-27

申请号：CN202410920732.6

申请日：2024-07-10

Applicant: 哈尔滨工业大学

Inventor： 刘立坤 ,  龚家兴 ,  余翔湛 ,  胡智超 ,  史建焘 ,  苗钧重 ,  郭明昊 ,  葛蒙蒙 ,  程明明 ,  张森 ,  陈东鑫 ,  王钲皓 ,  高展鹏 ,  郭一澄 ,  鲁宇 ,  周杰 ,  傅言晨 ,  李岱林 ,  张靖宇 ,  张垚

IPC: H04L9/40

Abstract: 本发明公开了一种基于数据包长度分布的动态低开销流量混淆方法，属于防御加密流量指纹检测技术领域。解决了现有技术中传统的流量混淆方法动态性不足且资源开销大的问题；本发明结合基于分布的数据包长度映射方法以及基于分割和堆叠的数据包修改方法，最终提出一个基于数据包长度分布的动态低开销流量混淆方法，对于一个数据包序列中的每个数据包，首先通过基于分布的数据包长度映射方法获得目标数据包长度，然后利用基于分割和堆叠的数据包修改方法将数据包修改为目标长度，最终得到混淆之后的数据包序列。本发明有效避免了对数据包修改过程中引入填充数据的操作，降低了额外的带宽开销，可以应用于在实际网络环境下混淆流量。

公开(公告)号：CN119544354A

公开(公告)日：2025-02-28

申请号：CN202411751420.3

申请日：2024-12-02

Applicant: 哈尔滨工业大学

Inventor： 余翔湛 ,  谷杰铭 ,  刘奉哲 ,  刘立坤 ,  胡智超 ,  葛蒙蒙 ,  秦浩伦 ,  李卓凌 ,  刘海心 ,  宋晨 ,  王邦国 ,  牟铎 ,  张垚 ,  张靖宇 ,  周杰 ,  傅言晨 ,  李岱林

IPC: H04L9/40 ,  H04L41/14 ,  G06N3/08 ,  G06F18/214

Abstract: 本发明公开了一种网络流量多任务增量预训练模型架构设计方法，属于网络安全检测技术领域。解决了现有技术中传统的多任务深度神经网络框架无法随网络环境动态变化保持对新任务的高精度判别能力的问题；本发明构建了预训练模型与共有知识表示层分离的、引入特定任务表示层的多任务增量预训练模型架构；对多任务增量预训练模型架构中的预训练模型进行训练，得到训练后的多任务增量预训练模型架构；对训练后的多任务增量预训练模型架构进行微调，根据设置的共有知识表示层架构和特定任务表示层架构，得到最终的多任务增量预训练模型架构。本发明有效提升了网络流量检测的泛化能力、稳定性和检测效果，可以应用于复杂多变的网络环境下的网络流量检测。

公开(公告)号：CN118349866B

公开(公告)日：2025-02-14

申请号：CN202410449202.8

申请日：2024-04-15

Applicant: 哈尔滨工业大学

Inventor： 余翔湛 ,  郭一澄 ,  刘立坤 ,  胡智超 ,  史建焘 ,  葛蒙蒙 ,  苗钧重 ,  郭明昊 ,  高展鹏 ,  王钲皓 ,  张森 ,  陈东鑫 ,  程明明 ,  张垚 ,  张靖宇 ,  李岱林 ,  傅言晨 ,  周杰

IPC: G06F18/23213 ,  H04L9/40 ,  H04L61/4511

Abstract: 本发明公开了一种移动应用SNI信息大规模细粒度分类算法，属于网络安全技术领域。解决了现有技术中传统的域名分类方法难以在大规模的SNI结果中剔除无效SNI信息并提取相关特征SNI的问题；本发明基于统计特征对SNI提取结果中确定为无效信息的二级域名进行删除，根据得到的初筛无效二级域名在APP出现的次数，基于预设的阈值条件对特征字符串去重，得到第一次去重结果并采用K‑Means聚类对其去重两次，得到第三次去重结果；遍历第三次去重结果中的重复的SNI数据，对不相似APP的二级域名的SNI去重，对所得结果数据清洗，得到最终特征SNI结果。本发明有效提取了APP的特征SNI，可以应用于加密流量特征识别。

公开(公告)号：CN118410483A

公开(公告)日：2024-07-30

申请号：CN202410498504.4

申请日：2024-04-24

Applicant: 哈尔滨工业大学

Inventor： 刘立坤 ,  郭一澄 ,  余翔湛 ,  胡智超 ,  史建焘 ,  郭明昊 ,  葛蒙蒙 ,  苗钧重 ,  程明明 ,  张森 ,  陈东鑫 ,  王钲皓 ,  高展鹏 ,  周杰 ,  傅言晨 ,  李岱林 ,  张靖宇 ,  张垚

IPC: G06F21/56 ,  H04L41/14 ,  H04L67/56 ,  H04L9/40 ,  G06F18/10 ,  G06F18/213 ,  G06F18/24

Abstract: 本发明公开了一种基于启发式动态分析的移动应用网络信息提取方法，属于网络信息安全技术领域。解决了现有技术中传统的动态网络分析方法和静态网络分析方法难以实现全面地对APP提取有效网络特征信息的问题；本发明通过逆向待分析应用的apk文件获取程序源码，遍历所得逆向结果中同网络信息相关的关键位置，提取输出静态启发信息及静态网络特征数据；基于随机动作点击和控件坐标生成原始流量，并通过基于代理的方法实现常用协议流量实时解密，对明密文流量中相关协议特征参数进行提取获得动态网络特征数据，对静态网络字符串变量结果和动态网络分析结果进行清洗，输出最终结果。本发明有效提升了流量生成和分析的效率，可以应用于APP测试。