随着通信技术发展、网络规模不断扩大,互联网已经成为人们生活中不可或缺的一部分。与此同时,以恶意软件为载体的网络攻击活动日益猖獗,例如拒绝服务攻击、勒索攻击、窃密攻击等,因此如何快速准确的识别恶意软件是构建安全可靠网络体系的重要一环。目前很多恶意软件采用HTTP协议通信,将自身流量隐藏在大量正常HTTP流量中,不仅增加了自身的隐蔽性,同时也实现了防火墙的穿透。针对于该类恶意软件的检测目前多集中于流量的局部特征,虽然可以识别恶意软件,但是存在较高的误报率和漏报率。针对上述问题,本文分析了用户访问产生的HTTP流量之间的关联关系,对恶意软件网络活动产生的HTTP流量特征进行挖掘,在此基础上,进一步研究现有恶意软件流量检测的相关学术成果,提出了结合HTTP关联性和多维特征的恶意软件检测方法。该方法由两部分组成:构建用户HTTP请求关联图过滤可疑流量和可疑HTTP流量的多维特征检测。重构用户HTTP请求关联图过滤可疑流量方法首先通过HTTP数据包中的多个字段并且结合机器学习算法将用户一段时间内直接或者间接访问产生的HTTP请求流量按照层级关系连接,从而过滤出无关联的可疑流量。大幅缩减系统处理的数据总量,减少正常流量对后续检测的干扰,提高检测的效率和精度。已有的HTTP恶意软件检测特征大都集中于流量的局部特征,而本文提出的HTTP多维特征检测方法在用户HTTP请求关联图的基础上,设计并且提取了可疑流量的关联特征、周期特征和内容特征,丰富了恶意软件HTTP流量的特征维度,扩宽了恶意软件检测范围。最后通过LightGBM分类算法完成可疑流量恶意性的判定,实现受监控主机网络环境中恶意软件的识别。最后本文利用CTU-13等恶意软件HTTP流量公开数据集对提出的方法进行测试与评估,并与基于HTTP流量载荷特征检测方法进行对比。实验结果表明本文提出的方法检测效果更好,精确率达到93.7%,召回率达到了94.2%。随后根据提出的方法设计并且实现了相关恶意软件检测原型系统,并在真实网络环境下对系统进行在线测试,结果表明该原型系统可以完成恶意软件HTTP流量的检测。