[發明專利]網絡協議變種檢測方法、裝置、電子設備和存儲介質

有效

• 申請號: 202010560524.1
• 申請日: 2020-06-18
• 公開（公告）號: CN111726264B
• 公開（公告）日: 2021-11-19
• 發明（設計）人: 許小豐;戴佳浩
• 申請（專利權）人: 中國電子科技集團公司第三十六研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06;G06F16/245;G06N5/04
• 代理公司: 北京市隆安律師事務所 11323
• 代理人: 權鮮枝;趙美林

1.一種網絡協議變種檢測方法，其特征在于，包括：

提取已知網絡協議的特征向量，構建特征數據庫；

獲取待檢數據流的目標特征向量，將所述目標特征向量與特征數據庫中各已知網絡協議的特征向量匹配，確定候選網絡協議集合；

基于模糊推理算法從所述候選網絡協議集合中確定待檢數據流使用的協議變種所對應的已知網絡協議；

其中，將所述目標特征向量與特征數據庫中各已知網絡協議的特征向量匹配，確定候選網絡協議集合包括：

分別計算目標特征特征向量與各已知網絡協議的特征向量之間的歐式距離；

將計算得到的歐式距離與距離閾值比較，當歐式距離小于距離閾值時，將相應的已知網絡協議放入候選網絡協議集合中。

2.如權利要求1所述的方法，其特征在于，所述基于模糊推理算法從所述候選網絡協議集合中確定待檢數據流使用的協議變種所對應的已知網絡協議包括：

將待檢數據流的目標特征向量模糊化，得到目標特征向量中各元素對應的模糊集；

根據所述模糊集以及預先建立的模糊規則庫中的模糊蘊含關系，進行推理合成，得到待檢數據流與候選網絡協議集合中各已知網絡協議之間的相似度模糊子集；

對所述相似度模糊子集去模糊化，確定出待檢數據流使用的協議變種所對應的已知網絡協議。

3.如權利要求2所述的方法，其特征在于，對所述相似度模糊子集去模糊化，確定出待檢數據流使用的協議變種所對應的已知網絡協議包括：

計算相似度模糊子集的隸屬度函數曲線所圍成區域的重心，將重心所對應的值確定為協議變種所對應的已知網絡協議。

4.如權利要求1所述的方法，其特征在于，所述獲取待檢數據流的目標特征向量包括：

對截獲的待檢數據流的前16個字節進行掃描，得到待檢數據流的目標特征向量；

所述目標特征向量包括下列元素中的一種或多種：數據流存活時間、數據流映射端口、數據流固定字節、數據幀/數據報到達間隔、簽名算法、安全傳輸協議、證書時長、數據幀/數據報長度、協議版本號。

5.如權利要求1-4中任一項所述的方法，其特征在于，所述提取已知網絡協議的特征向量，構建特征數據庫包括：

提取TCP/IP協議簇中各已知網絡協議的特征向量，構建特征數據庫。

6.一種網絡協議變種檢測裝置，其特征在于，包括：

數據庫構建模塊，用于提取已知網絡協議的特征向量，構建特征數據庫；

匹配模塊，用于獲取待檢數據流的目標特征向量，將所述目標特征向量與特征數據庫中各已知網絡協議的特征向量匹配，確定候選網絡協議集合；

確定模塊，用于基于模糊推理算法從所述候選網絡協議集合中確定待檢數據流使用的協議變種所對應的已知網絡協議；

其中，所述匹配模塊，具體用于分別計算目標特征特征向量與各已知網絡協議的特征向量之間的歐式距離；將計算得到的歐式距離與距離閾值比較，當歐式距離小于距離閾值時，將相應的已知網絡協議放入候選網絡協議集合中。

7.一種電子設備，其特征在于，該電子設備包括：處理器；以及被安排成存儲計算機可執行指令的存儲器，所述可執行指令在被執行時使所述處理器執行如權利要求1-5中任一項所述方法。

8.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲一個或多個程序，所述一個或多個程序當被處理器執行時，實現如權利要求1-5中任一項所述方法。