[發(fā)明專利]基于載荷特征和統(tǒng)計(jì)特征的Shodan流量識(shí)別方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202010043208.7
• 申請(qǐng)日: 2020-01-15
• 公開（公告）號(hào): CN111211948B
• 公開（公告）日: 2022-05-27
• 發(fā)明（設(shè)計(jì)）人: 陳永樂;馬垚;于丹;楊玉麗;連曉偉
• 申請(qǐng)（專利權(quán)）人: 太原理工大學(xué)
• 主分類號(hào): H04L43/026
• 分類號(hào): H04L43/026;H04L43/028;H04L43/12;H04L9/40;G06N20/10
• 代理公司: 太原晉科知識(shí)產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 14110
• 代理人: 任林芳

1.一種基于載荷特征和統(tǒng)計(jì)特征的Shodan流量識(shí)別方法，其特征在于，包括以下步驟：

在網(wǎng)絡(luò)中設(shè)置交換機(jī)流量鏡像端口，部署嗅探器進(jìn)行流量監(jiān)聽；

嗅探器對(duì)監(jiān)聽到的流量以數(shù)據(jù)包窗口的方式進(jìn)行解析，分別提取載荷特征和統(tǒng)計(jì)特征；其中，載荷特征為應(yīng)用層特征，統(tǒng)計(jì)特征為網(wǎng)絡(luò)層特征；

利用嗅探器的解析結(jié)果，對(duì)載荷特征和統(tǒng)計(jì)特征依次采用基于狀態(tài)機(jī)的載荷特征識(shí)別模型和基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行識(shí)別，完成Shodan流量和非Shodan流量的分類；

在采用基于狀態(tài)機(jī)的載荷特征識(shí)別模型和基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行識(shí)別的步驟中，包括步驟：

將流量輸入基于狀態(tài)機(jī)的載荷特征識(shí)別模型，通過(guò)判斷載荷特征中的功能碼序列特征，將流量分為類似Shodan流量和第一非Shodan流量；

將類似Shodan流量輸入基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行識(shí)別，識(shí)別類似Shodan流量中的第二非Shodan流量，從而完成Shodan流量和非Shodan流量的分類。

2.根據(jù)權(quán)利要求1所述的基于載荷特征和統(tǒng)計(jì)特征的Shodan流量識(shí)別方法，其特征在于，在采用基于狀態(tài)機(jī)的載荷特征識(shí)別模型和基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行識(shí)別的步驟之前，還包括對(duì)基于狀態(tài)機(jī)的載荷特征識(shí)別模型和基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行訓(xùn)練的步驟。

3.根據(jù)權(quán)利要求2所述的基于載荷特征和統(tǒng)計(jì)特征的Shodan流量識(shí)別方法，其特征在于，對(duì)基于狀態(tài)機(jī)的載荷特征識(shí)別模型和基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行訓(xùn)練的步驟包括：

收集正常的modbus/TCP通信流量，從網(wǎng)絡(luò)層和應(yīng)用層分別提取載荷特征和統(tǒng)計(jì)特征，確認(rèn)是否屬于Shodan流量并進(jìn)行標(biāo)記，生成完整的數(shù)據(jù)集；

將數(shù)據(jù)集分別輸入到基于狀態(tài)機(jī)的載荷特征識(shí)別模型和基于統(tǒng)計(jì)特征的SVM識(shí)別模型進(jìn)行訓(xùn)練、測(cè)試，對(duì)模型進(jìn)行優(yōu)化，完成對(duì)模型的訓(xùn)練。

4.根據(jù)權(quán)利要求3所述的基于載荷特征和統(tǒng)計(jì)特征的Shodan流量識(shí)別方法，其特征在于，在確認(rèn)流量是否屬于Shodan流量并進(jìn)行標(biāo)記的步驟中，通過(guò)IP反查域名并檢查關(guān)聯(lián)的PTR記錄是否屬于Shodan的子域，并進(jìn)行標(biāo)記。

5.根據(jù)權(quán)利要求1所述的基于載荷特征和統(tǒng)計(jì)特征的Shodan流量識(shí)別方法，其特征在于，在提取載荷特征和統(tǒng)計(jì)特征的步驟中，

應(yīng)用層特征是在一定長(zhǎng)數(shù)據(jù)包窗口內(nèi)，提取每條數(shù)據(jù)包的功能碼，并將一系列功能碼按照先后順序組成功能碼序列；

網(wǎng)絡(luò)層特征是采用滑動(dòng)窗口的方式依次提取不同窗口內(nèi)的IP、端口、數(shù)據(jù)包個(gè)數(shù)、接收的字節(jié)數(shù)、連接持續(xù)時(shí)間、數(shù)據(jù)包時(shí)間間隔的均值、方差、最大最小值特征，作為統(tǒng)計(jì)特征。