加密流量元数据与行为分析

EncGuard Pro 加密通信恶意行为检测平台

检测模式：规则检测 + 分类模型 + 异常检测 + 攻击链融合 模型状态：已启用

安全仿真

隔离可控的加密通信场景验证

仅生成安全合成特征和授权环境元数据摘要，不扫描公网、不执行真实破坏行为、不保存明文通信内容。

查看报告
仿真批次 已评估批次 safe-lab-20260704092453-e82171 safe-lab-20260704092453-e82171 · 2026-07-04T09:24:53.054208+00:00 · data/features/mixed_scenario_features.csv
仿真样本48安全合成特征
正常样本10用于误报观察
可疑样本38赛题弱场景验证
检测事件48安全仿真结果
异常信号33异常检测输出
攻击链3跨场景聚合
闭环流程

生成、检测、聚合、报告

可用
01生成安全特征正常 HTTPS、SSH、SFTP 与疑似爆破、隧道、外传等场景。
02融合检测规则、分类模型、异常检测和动态门控输出统一风险。
03未知风险识别高不确定性和高异常分数会触发未知可疑输出。
04攻击链聚合将爆破、后续操作、异常隧道、外传风险合并成可复核链路。

如果正常场景的检出数量为 0，含义是当前仿真样本未触发误报；这不是漏检指标。

场景分布

安全仿真场景覆盖

疑似 SSH 爆破
6
疑似未知风险
7
疑似爆破后异常行为
5
正常 SSH
4
正常 HTTPS
3
疑似加密数据外传
8
疑似 SFTP 批量上传
4
疑似异常加密隧道
4
正常 SFTP
3
ssh failed login burst like
4
检测指标

仿真场景检测结果

精确率
100.00%
召回率
100.00%
F1 值
100.00%
严重风险
16
高风险
22
场景解释

行为含义

  • 正常 SSH：正常 SSH 元数据仿真。
  • 正常 HTTPS：正常 HTTPS 元数据仿真。
  • 正常 SFTP：正常 SFTP 元数据仿真。
  • 疑似 SSH 爆破：SSH 暴力破解行为特征仿真。
  • ssh failed login burst like：连续失败登录突发行为特征仿真。
  • 疑似爆破后异常行为：暴力破解后异常操作行为特征仿真。
  • 疑似 SFTP 批量上传：SFTP 批量上传元数据特征仿真。
  • 疑似异常加密隧道：异常加密隧道行为特征仿真。
  • 疑似加密数据外传：加密数据外传行为特征仿真。
  • 疑似未知风险：未知异常行为特征仿真。
赛题对应

检测方式说明

  • SSH 暴力破解：规则 + 模型，主模型可靠覆盖 ssh_bruteforce，连续失败登录由时序代理特征补强。
  • 暴力破解后操作：规则 + 攻击链，不夸大为分类模型强监督覆盖，使用规则、异常分数和链路证据支撑。
  • 异常加密隧道：规则 + 异常检测，不解密 payload，仅基于连接持续时间、包大小稳定性和双向流行为。
  • 数据外传：规则 + 异常检测，基于大上行比例、大流量、非工作时间和未知目的地等元数据。
  • 未知异常：模型 + 异常门控，通过不确定性和异常门控输出 unknown_suspicious 风险。
查看各场景详情
场景 中文解释 场景类型 样本数 检出数 召回率
疑似 SSH 爆破 SSH 暴力破解行为特征仿真。 suspicious 6 6 100.00%
疑似未知风险 未知异常行为特征仿真。 suspicious 7 7 100.00%
疑似爆破后异常行为 暴力破解后异常操作行为特征仿真。 suspicious 5 5 100.00%
正常 SSH 正常 SSH 元数据仿真。 正常通信 4 0 0.00%
正常 HTTPS 正常 HTTPS 元数据仿真。 正常通信 3 0 0.00%
疑似加密数据外传 加密数据外传行为特征仿真。 suspicious 8 8 100.00%
疑似 SFTP 批量上传 SFTP 批量上传元数据特征仿真。 suspicious 4 4 100.00%
疑似异常加密隧道 异常加密隧道行为特征仿真。 suspicious 4 4 100.00%
正常 SFTP 正常 SFTP 元数据仿真。 正常通信 3 0 0.00%
ssh failed login burst like 连续失败登录突发行为特征仿真。 suspicious 4 4 100.00%