[發明專利]一種并機檢測方法和裝置

在審

• 申請號: 201310356768.8
• 申請日: 2013-08-15
• 公開（公告）號: CN103457789A
• 公開（公告）日: 2013-12-18
• 發明（設計）人: 馬云鶯;林寶源
• 申請（專利權）人: 北京星網銳捷網絡技術有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種并機檢測方法和裝置。

背景技術

目前，幾乎所有的互聯網運營商對于寬帶接入業務的收費方式都是采用計時收費，而不是計量收費。某些用戶正是利用這個漏洞，讓多個用戶終端通過并機接入的方式來共享網絡，以使該多個用戶終端對應的用戶共同分攤寬帶接入業務的費用，從而給互聯網運營商帶來了巨額的經濟損失。所謂并機接入，是指未經網絡認證的用戶終端繞過或破解網絡認證機制，與經過網絡認證的用戶終端共享同一個網絡之間互連的協議（Internet?Protocol，IP）地址來接入網絡。因此，對接入網絡的用戶終端進行并機檢測，也就是判斷接入網絡的用戶終端的IP地址是否被多個用戶終端共享使用。

目前，業界對接入網絡的用戶終端進行并機檢測時的普遍使用的方法有以下幾種：

1、IP報文中的標識ID字段連續性檢測法

接入網絡的用戶終端所發送的IP報文中都包含一個ID字段，該ID字段的取值按照用戶終端發送IP報文的順序，從0至65535依次循環遞增，且收到IP報文的網絡側的設備（如路由器、代理服務器等）都不會對這一字段進行修改。因此，如果由同一個IP地址發出的IP報文到達網絡側的順序和用戶終端的發送順序一致，那么到達網絡側的各IP報文中的ID字段的取值應該是遞增的，所以可以根據該ID字段的取值的連續性判斷在同一個IP地址下是否只有一個用戶終端。然而，通常情況下很難保證IP報文到達網絡側的順序和用戶終端的發送順序一致。另外，如果用戶終端感染了病毒或蠕蟲，也會使IP報文中的ID字段產生異常變化，這都會導致不可避免的誤判，使檢測結果的準確度大大降低，誤判率相對較高。

2、Cookie（某些網站為了辨別用戶身份、進行會話跟蹤而儲存在用戶本地終端上的數據）標識ID數檢測法

記錄Cookie有效期內訪問同一網站的不同用戶終端的Cookie?ID值，并根據同一IP地址下的不同Cookie?ID值的個數來判斷出共享此IP地址的用戶終端的數目。如果同一IP地址下只有一個Cookie?ID值，則說明該IP地址僅被一個用戶終端使用，不存在并機接入的情況；如果同一IP地址下有多個Cookie?ID值，則說明該IP地址被多個用戶終端共享，存在并機接入的情況。然而，如果一個用戶終端同時開啟多個瀏覽器，此時網絡側會為各瀏覽器分配不同的Cookie?ID值；另外，如果用戶終端將瀏覽器設置為在關閉時清理Cookie?ID值，那么當重新打開并使用瀏覽器時，網絡側又會重新分配Cookie?ID值。因此，根據Cookie?ID值的數目是不能準確地判斷出共享IP地址的用戶終端的數目的。因此這種檢測方案的誤判率也比較高，檢測結果的準確度比較低。

3、傳輸控制協議（Transmission?Control?Protocol，TCP）報文的序列號連續性檢測法

這種檢測方法與上述根據IP報文中的標識ID字段進行檢測的原理相似，因此也存在誤判率比較高，檢測結果的準確度比較低的缺陷。

由此可見，現有的對接入網絡的用戶終端進行并機檢測的方法均存在誤判率較高的缺陷。

發明內容

本發明實施例提供一種并機檢測方法和裝置，用以解決現有技術中在對接入網絡的用戶終端進行并機檢測時存在的誤判率比較高的問題。

本發明實施例采用以下技術方案：

一種并機檢測方法，包括：

根據待檢測的IP地址發送的網絡數據包中包含的用于表征用戶終端的行為特征的特征值，以及預先針對特征值的不同類型而分別設置的各并機條件，判斷所述特征值是否觸發與其對應的并機條件；其中，各并機條件中分別包含與其對應的類型的特征值在所述IP地址被多個用戶終端共享使用時應具備的特征信息，當所述特征值具備與其對應的并機條件中包含的所述特征信息時，所述特征值觸發與其對應的并機條件；

根據各并機條件被觸發的次數，確定用于評估所述IP地址是否被多個用戶終端共享使用的并機評估值；

當所述并機評估值大于預先設置的并機閾值時，輸出用于表征所述IP地址被多個用戶終端共享使用的通知消息。

一種并機檢測裝置，包括：