[發(fā)明專利]通信行為檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 201210331075.9
• 申請日: 2012-09-07
• 公開（公告）號: CN102882739A
• 公開（公告）日: 2013-01-16
• 發(fā)明（設(shè)計）人: 任云龍;翟立東;郭莉
• 申請（專利權(quán)）人: 中國科學(xué)院信息工程研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京輕創(chuàng)知識產(chǎn)權(quán)代理有限公司 11212
• 代理人: 楊立

1.一種通信行為檢測方法，其特征在于，包括：

記錄網(wǎng)絡(luò)中目標(biāo)通信行為的總數(shù)N，所述目標(biāo)通信行為是指源地址和目的地址相同、且具有相似通信內(nèi)容的通信行為；

計算所述目標(biāo)通信行為中相鄰兩次通信行為的通信時間間隔t，所述通信時間間隔t等于所述相鄰兩次通信行為中后一次通信行為的開始時間減去前一次通信行為的開始時間的差；

檢測相關(guān)通信時間間隔的個數(shù)M，所述相關(guān)通信時間間隔是指與設(shè)定比對值的誤差小于設(shè)定誤差值的通信時間間隔t；

計算監(jiān)視參數(shù)λ，λ=M/N，若所述監(jiān)視參數(shù)λ大于設(shè)定百分比，則將所述目標(biāo)通信行為中與相鄰?fù)ㄐ判袨榫哂兴鱿嚓P(guān)通信時間間隔的通信行為標(biāo)記為監(jiān)視通信；

將標(biāo)記為監(jiān)視通信的通信行為與設(shè)定白名單進行比對，將未列在所述設(shè)定白名單上的標(biāo)記為監(jiān)視通信的通信行為記為惡意通信行為。

2.根據(jù)權(quán)利要求1所述的通信行為檢測方法，其特征在于，根據(jù)具體網(wǎng)絡(luò)環(huán)境和該網(wǎng)絡(luò)環(huán)境總的通信活動量確定所述設(shè)定百分比。

3.根據(jù)權(quán)利要求1所述的通信行為檢測方法，其特征在于，小型網(wǎng)絡(luò)中所述設(shè)定百分比為30%，所述小型網(wǎng)絡(luò)是指包含的通信終端數(shù)量在1-50范圍內(nèi)的網(wǎng)絡(luò)；中型網(wǎng)絡(luò)環(huán)境中所述設(shè)定百分比為50%，所述中型網(wǎng)絡(luò)是指包含的通信終端數(shù)量在50-100范圍內(nèi)的網(wǎng)絡(luò)；大型網(wǎng)絡(luò)環(huán)境中所述設(shè)定百分比為80%，所述大型網(wǎng)絡(luò)是指包含的通信終端數(shù)量在100以上的網(wǎng)絡(luò)。

4.根據(jù)權(quán)利要求1所述的通信行為檢測方法，其特征在于，在所述記錄網(wǎng)絡(luò)中目標(biāo)通信行為的總數(shù)N之前，還包括：

依據(jù)通信的源地址和目的地址，對網(wǎng)絡(luò)中所有通信設(shè)備的通信行為進行第一分類，將源地址和目的地址都相同的通信行為歸為同一大類；

在所述第一分類的基礎(chǔ)上，依據(jù)通信內(nèi)容的相似性對所述同一大類中的通信為再進行第二分類，將具有相似通信內(nèi)容的通信行為歸為同一小類，所述同一小類中的通信行為即為目標(biāo)通信行為。

5.根據(jù)權(quán)利要求4所述的通信行為檢測方法，其特征在于，所述通信設(shè)備包括服務(wù)器、通信終端。

6.一種通信行為檢測裝置，其特征在于，包括順次相連的記錄模塊、計算模塊、檢測模塊、標(biāo)記模塊和比對模塊，其中：

所述記錄模塊，用于記錄網(wǎng)絡(luò)中目標(biāo)通信行為的總數(shù)N，所述目標(biāo)通信行為是指源地址和目的地址相同、且具有相似通信內(nèi)容的通信行為；

所述計算模塊，用于計算所述目標(biāo)通信行為中相鄰兩次通信行為的通信時間間隔t，所述通信時間間隔t等于所述相鄰兩次通信行為中后一次通信行為的開始時間減去前一次通信行為的開始時間的差；

所述檢測模塊，用于檢測相關(guān)通信時間間隔的個數(shù)M，所述相關(guān)通信時間間隔是指與設(shè)定比對值的誤差小于設(shè)定誤差值的通信時間間隔t；

所述標(biāo)記模塊，用于計算監(jiān)視參數(shù)λ，λ=M/N，若所述監(jiān)視參數(shù)λ大于設(shè)定百分比，則將所述目標(biāo)通信行為中與相鄰?fù)ㄐ判袨榫哂兴鱿嚓P(guān)通信時間間隔的通信行為標(biāo)記為監(jiān)視通信；

所述比對模塊，用于將標(biāo)記為監(jiān)視通信的通信行為與設(shè)定白名單進行比對，將未列在所述設(shè)定白名單上的標(biāo)記為監(jiān)視通信的通信行為記為惡意通信行為。

7.根據(jù)權(quán)利要求6所述的通信行為檢測裝置，其特征在于，所述設(shè)定百分比根據(jù)具體網(wǎng)絡(luò)環(huán)境和該網(wǎng)絡(luò)環(huán)境總的通信活動量來確定。

8.根據(jù)權(quán)利要求6所述的通信行為檢測裝置，其特征在于，小型網(wǎng)絡(luò)中所述設(shè)定百分比為30%，所述小型網(wǎng)絡(luò)是指包含的通信終端數(shù)量在1-50范圍內(nèi)的網(wǎng)絡(luò)；中型網(wǎng)絡(luò)環(huán)境中所述設(shè)定百分比為50%，所述中型網(wǎng)絡(luò)是指包含的通信終端數(shù)量在50-100范圍內(nèi)的網(wǎng)絡(luò)；大型網(wǎng)絡(luò)環(huán)境中所述設(shè)定百分比為80%，所述大型網(wǎng)絡(luò)是指包含的通信終端數(shù)量在100以上的網(wǎng)絡(luò)。

9.根據(jù)權(quán)利要求6所述的通信行為檢測裝置，其特征在于，還包括：

第一分類模塊，用于依據(jù)通信的源地址和目的地址，對網(wǎng)絡(luò)中所有通信設(shè)備的通信行為進行第一分類，將源地址和目的地址都相同的通信行為歸為同一大類；

第二分類模塊，分別與所述第一分類模塊和所述記錄模塊相連，用于在所述第一分類的基礎(chǔ)上，依據(jù)通信內(nèi)容的相似性對所述同一大類中的通信為再進行第二分類，將具有相似通信內(nèi)容的通信行為歸為同一小類，所述同一小類中的通信行為即為目標(biāo)通信行為。

10.根據(jù)權(quán)利要求9所述的通信行為檢測裝置，其特征在于，所述通信設(shè)備包括服務(wù)器、通信終端。