[發(fā)明專利]一種面向加密流量識別的樣本自動標(biāo)定方法

有效

• 申請?zhí)枺?/td>: 201810897782.1
• 申請日: 2018-08-08
• 公開（公告）號: CN108881305B
• 公開（公告）日: 2020-04-28
• 發(fā)明（設(shè)計(jì)）人: 馬小博;師馬瑋;焦洪山;安冰玉;趙延康;李劍鋒;彭嘉豪
• 申請（專利權(quán)）人: 西安交通大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/851;H04L9/32
• 代理公司: 西安通大專利代理有限責(zé)任公司 61200
• 代理人: 徐文權(quán)

1.一種面向加密流量識別的樣本自動標(biāo)定方法，其特征在于，包括以下步驟：

步驟1：給定連續(xù)抓取n天的流量數(shù)據(jù)pcap文件，將其解析為時(shí)間戳，客戶端IP，客戶端Port，傳輸方向，數(shù)據(jù)包長度格式的流量數(shù)據(jù)序列，要求序列按照時(shí)間戳從小到大排序；給定在代理服務(wù)器端生成的通信日志，其中每條記錄的格式為時(shí)間戳，目標(biāo)網(wǎng)址，客戶端IP，客戶端Port，要求通信日志是每隔兩小時(shí)生成一個日志文件，命名格式為“年-月-日-起始時(shí)刻”；

步驟2：選出包含從流量抓取到結(jié)束這一時(shí)間段的所有日志文件；

步驟3：以每天的偶數(shù)整點(diǎn)時(shí)刻為一個劃分點(diǎn)，將在相鄰兩個偶數(shù)整點(diǎn)時(shí)刻內(nèi)的流量數(shù)據(jù)劃分到id為“年-月-日-起始時(shí)刻”的集合內(nèi)，在每個集合內(nèi)將具有相同客戶端IP和客戶端Port的流量數(shù)據(jù)的時(shí)間戳和數(shù)據(jù)包長度提取出來組合成按照時(shí)間戳從小到大排序的序列，每個序列被定義為一個TCP流；

步驟4：將流量數(shù)據(jù)集合與名稱等于集合id的日志文件匹配，即同一時(shí)間段的流量數(shù)據(jù)集合與日志文件對，在每個集合中，將擁有相同的IP和Port的目標(biāo)網(wǎng)址和TCP流對應(yīng)起來，將目標(biāo)網(wǎng)址作為該TCP流的類別標(biāo)簽；

步驟5：遍歷每個流量數(shù)據(jù)集合，完成對所有TCP流的類別標(biāo)定。

2.根據(jù)權(quán)利要求1所述的一種面向加密流量識別的樣本自動標(biāo)定方法，其特征在于，步驟1中，生成日志文件的具體方法為：在每天的偶數(shù)整點(diǎn)時(shí)刻0:00，2:00，4:00，6:00，8:00…以此類推生成一個日志文件。

3.根據(jù)權(quán)利要求1所述的一種面向加密流量識別的樣本自動標(biāo)定方法，其特征在于，步驟2中，選出特定日志文件的具體方法為：將流量數(shù)據(jù)序列中最大和最小的時(shí)間戳記為ts₀和ts₁，將其轉(zhuǎn)換為“年-月-日-時(shí):分:秒”的格式，記為t₀和t₁；比較出小于且最接近t₀和小于且最接近于t₁的偶數(shù)整點(diǎn)時(shí)刻_t₀和_t₁，格式為“年-月-日-偶數(shù)時(shí)刻”，與步驟1生成的日志文件名稱進(jìn)行匹配，挑選出名稱所表示的時(shí)間在_t₀和_t₁之間且包含_t₀和_t₁在內(nèi)的所有日志文件。

4.根據(jù)權(quán)利要求1所述的一種面向加密流量識別的樣本自動標(biāo)定方法，其特征在于，訪問的網(wǎng)站集合和樣本采集時(shí)間由用戶自行設(shè)定。