近年来,使用加密HTTP流量进行自传播的恶意软件攻击的数量急剧增加。传统的针对非加密流量的网络流量检测方法难以应用于加密流量检测。加密在保护用户隐私的同时,也带来了安全风险:加密后的有效载荷量大且无法直接观测,恶意流量可能隐藏在加密流量中,导致一系列安全问题。因此对恶意加密流量检测的研究显得尤为重要。当前恶意加密流量分类主要分为两种:基于特征工程的传统机器学习方法和基于自动特征提取的深度学习方法。如何提高检出率和降低误报率是当前恶意加密流量分类领域亟待解决的问题。当前工作仍存在两个问题:（1）由于加密流信息有限且标签不准确的问题,基于流特征的分类方法容易导致误报率高;（2）单模型泛化性不高的问题,即当流量的网络特征发生变化时,单模型分类效果方差较大。针对上述问题,本文研究了恶意加密流量分类方法,主要研究内容如下:（1）提出了一种基于流级和主机级的恶意加密流量特征工程方法。对于流级特征,构造了统计特征和序列特征;对于主机级特征,构造了统计特征、证书特征、序列特征和包长分布特征。通过挖掘原始流量基础信息并进行特征工程,得到更加有效的特征。实验结果表明两类特征的结合能够有效提高分类效果。（2）提出了一种基于集成策略的恶意加密流量分类框架。该框架集成多个分类模型,融合多个分类结果,而不是将全部特征拟合到单个模型。多个模型的融合可以减少模型的方差,使预测结果更加稳定,同时可以使用并行训练和预测的方式降低时间成本。实验结果表明,即使当前数据下单个模型效果不佳,但模型之间可以相互弥补,使得集成后的分类效果仍处于较高水平。（3）设计并实现了一个恶意加密流量分类原型系统,该系统可以上传pcap格式的流量文件,通过前端页面实时反映加密流量的分类结果。