一种基于大语言模型的密态网络恶意流量智能检测系统的制作方法

本发明涉及网络安全，更具体地说，它涉及一种基于大语言模型的密态网络恶意流量智能检测系统。

背景技术：

1、随着网络加密通信的普及，安全传输层会话、快速用户数据报互联网连接等加密机制被广泛应用于网页访问、即时通信、文件传输等各类网络业务，加密流量在整体网络流量中的占比持续提升。传统基于应用层明文载荷特征匹配的恶意流量检测方案，因难以读取加密后的载荷内容，检测能力出现明显下降，难以适配当前全加密网络环境下的恶意流量检测需求。

2、现有密态网络恶意流量检测方案主要分为三类，一类基于可见协议指纹的单维度匹配，通过握手阶段的加密套件、扩展字段等特征比对已知恶意指纹；一类基于普通时序特征检测，通过报文长度、时间间隔的统计特征或序列距离判断异常；一类引入大语言模型对流量特征进行语义研判，通过模型的泛化能力识别未知恶意流量。

3、现有方案存在多方面不足，单维度协议指纹检测仅能识别已知指纹的恶意流量，对未知变种和正常稀有业务的区分能力不足，误报与漏报难以平衡；普通时序检测易受网络波动、乱序重传影响，检测结果仅为全局异常数值，难以定位具体异常位置，难以支撑人工复核；引入大语言模型缺乏输入输出约束，模型易生成脱离实际流量证据的判断结果，结论可信度不足；多数方案采用全局统一基线，未区分不同业务场景的通信特征，跨场景比对易产生误判。

技术实现思路

1、本发明提供一种基于大语言模型的密态网络恶意流量智能检测系统，解决上述背景技术中的技术问题。

2、本发明提供了一种基于大语言模型的密态网络恶意流量智能检测系统，包括：

3、密态会话记录生成模块，对不解密的网络报文执行会话归并、可见协议字段解析、长度方向时间序列构造和同源通信分组，输出密态会话记录；

4、同源通信基线映射模块，依据同源通信分组标识读取合法归档的历史密态会话记录，输出同源通信基线、可见协议令牌概率分布和节律原型集合；

5、方向化节律序列生成模块，依据报文长度序列、报文方向序列和报文到达时间序列，生成方向化节律序列；

6、协议时序证据生成模块，依据可见协议令牌序列、可见协议令牌概率分布、方向化节律序列和节律原型集合，计算协议稀有度、时序偏离度、协议时序证据张力值和证据锚点集合；

7、证据门控上下文生成模块，依据协议稀有度、时序偏离度、协议时序证据张力值和证据锚点集合，生成证据门控异常量和结构化安全上下文；

8、大语言模型约束推理模块，依据结构化安全上下文和本地攻击样本特征库，生成证据校验后的大语言模型约束推理结果；

9、告警报文生成模块，依据证据校验后的大语言模型约束推理结果、密态会话记录、证据锚点集合和证据门控异常量，生成密态恶意流量检测告警报文。

10、本发明的有益效果在于：本发明针对密态网络环境下的恶意流量检测需求，在不解密应用层载荷的前提下实现恶意流量识别。通过多维度证据耦合的检测方式，结合协议特征与时序行为特征的关联分析，可区分正常稀有业务与真实恶意通信，平衡误报率与漏报率；通过证据锚点定位机制，将全局异常结果映射到具体报文位置，支撑安全运维人员的人工复核与审计溯源；通过固定输入输出约束与证据校验机制，将大语言模型的推理限制在可见证据范围内，减少无依据的推测结果，提升检测结论的可信度；通过分级降阶的基线匹配机制，适配不同业务场景的通信特征，覆盖基线暂未覆盖的新业务场景，减少跨场景误判。

1.一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述系统包括：

2.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述密态会话记录生成模块执行以下步骤：

3.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述同源通信基线映射模块执行以下步骤：

4.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述方向化节律序列生成模块执行以下步骤：

5.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述协议时序证据生成模块执行以下步骤：

6.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述证据门控上下文生成模块执行以下步骤：

7.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述大语言模型约束推理模块执行以下步骤：

8.根据权利要求1所述的一种基于大语言模型的密态网络恶意流量智能检测系统，其特征在于，所述告警报文生成模块执行以下步骤：