[發明專利]一種基于應用程序流量分布式分析的主機實時識別方法

有效

• 申請號: 201710249904.1
• 申請日: 2017-04-17
• 公開（公告）號: CN106936667B
• 公開（公告）日: 2020-08-11
• 發明（設計）人: 楊明;潘培龍;羅軍舟;凌振
• 申請（專利權）人: 東南大學
• 主分類號: H04L12/26
• 分類號: H04L12/26
• 代理公司: 南京眾聯專利代理有限公司 32206
• 代理人: 許小莉

1.一種基于應用程序流量分布式分析的主機實時識別方法，其特征在于：所述方法基于分布式計算平臺Storm從分布式消息隊列中讀取流量報文，完成對流量報文的分析與處理，并抽取特征數據將其存入分布式數據庫，然后通過組合設備的特征數據生成設備指紋，并基于Spark Streaming技術完成對設備指紋的分類，實現對主機的實時識別，具體包括以下步驟：

S1，分布式流量報文分析與處理；

S2，設備指紋的生成；

S3，主機的實時識別；

所述步驟S1的具體過程包括：

S101，從數據源中讀取流量報文，并以元組的形式源源不斷地傳遞至分布式報文分析與處理框架內部；

S102，對流量報文頭部進行解析，記錄報文的時間戳、MAC地址、IP地址、傳輸層協議類型、端口號、有效載荷長度及其偏移值，并過濾無關協議的報文；

S103，對流量報文進行深度包檢測，并識別其應用協議類型；

S104，對流量報文進行應用程序識別；

所述步驟S103，對流量報文進行深度包檢測，深度包檢測包含規則匹配引擎和協議識別規則兩部分：規則匹配引擎是在Snort的核心組件規則匹配引擎的基礎之上，加入多線程支持，設計與封裝API接口并最終完成與分布式計算平臺的銜接；協議識別規則的編寫則是在參考協議文檔的基礎之上，提取并總結典型協議的特征信息，參考Snort異常檢測規則的編寫規范，最終編寫完成協議的識別規則；

所述步驟S104，對流量報文進行應用程序識別，分為兩大類：第一類，協議本身即可標識軟件，通過對應用協議的識別即可識別應用程序；第二類，大量軟件共用一種應用層傳輸協議，通過對應用協議字段值的匹配更進一步地去識別應用程序，在完成了應用程序的識別之后，抽取設備特征數據并存入數據庫中，所述的設備特征數據包括軟件名稱、軟件版本號、操作系統類型、設備類型、用戶ID以及用戶名，為實現應用程序識別的功能，設計了兩種數據結構及應用程序識別算法，而在擴展性方面，通過配置文件和動態鏈接庫可以實現對新的應用程序的識別；

所述步驟S2，設備指紋的生成是以小時為單位對特征數據集進行劃分，組合軟件名稱、軟件版本號、操作系統類型生成設備指紋，設備指紋即為：操作系統、軟件1、軟件1+版本1，…的n元組，針對設備指紋的取值，具體包含布爾型設備指紋和數值型設備指紋兩大類；在生成數值型設備指紋時，需要設定一個計數間隔INTERVAL，在同一個計數間隔內的多次訪問只記一次；

所述步驟S3，在第一個時間階段，針對每個主機，利用樸素貝葉斯分類器，對步驟S2處理過后的設備指紋數據集進行機器學習，生成設備指紋的識別模型，而在第二個時間階段，利用生成的預測模型對步驟S2處理過后的設備指紋進行預測，實時地識別主機。