[發明專利]一種輕量化以太坊加密流量識別方法

有效

• 申請號: 202010584367.8
• 申請日: 2020-06-24
• 公開（公告）號: CN111865823B
• 公開（公告）日: 2022-11-01
• 發明（設計）人: 胡曉艷;童鐘奇;程光;吳樺;許昱偉;張玉健
• 申請（專利權）人: 東南大學
• 主分類號: H04L47/2483
• 分類號: H04L47/2483;H04L47/2441
• 代理公司: 南京蘇高專利商標事務所(普通合伙) 32204
• 代理人: 柏尚春

1.一種輕量化以太坊加密流量識別方法，其特征在于，包括以下步驟：

(1)設置活躍節點庫記錄以太坊活躍節點信息，由核心節點庫初始化活躍節點庫，并由流量識別結果動態更新活躍節點庫；

(2)對活躍節點庫中有記錄的節點，由報文和流的不同統計特征分別識別是否為以太坊UDP或以太坊TCP流量；

所述步驟(1)包括以下步驟：

(11)采用網絡爬蟲工具在指定的以太坊節點統計網站中爬取公開的以太坊節點信息，并轉為核心節點庫中可用的格式類型；

(12)核心節點庫接收由網絡爬蟲工具爬取到的結果，查詢核心節點庫中是否已經存在相應條目，若存在，則丟棄該結果，轉步驟(13)，否則，將以太坊節點信息添加到核心節點庫中，轉步驟(13)；

(13)若已經爬取了以太坊節點統計網站中的所有以太坊節點信息，則使用核心節點庫中的信息填充活躍節點庫，轉步驟(14)，否則，繼續爬取以太坊節點信息，轉步驟(11)；

(14)采用由核心節點庫填充的以太坊活躍節點庫進行后續的以太坊加密流量識別；

(15)活躍節點庫接收由流量識別結果傳入的以太坊節點信息，檢測活躍節點庫中是否已經存在相應條目，若存在，更新相應條目中的超時時間信息，否則，將節點添加進活躍節點庫中，并設置超時時間；

(16)活躍節點庫中節點設置超時時間，若直至超時時間結束，仍未檢測到該節點產生了新的以太坊流量，則從活躍節點庫中剔除該以太坊節點信息，否則該次活躍節點庫更新過程結束；

所述步驟(2)包括以下步驟：

(21)流量到達，開始以太坊加密流量識別流程；

(22)提取流量的源宿以太坊節點信息，查找活躍節點庫，若活躍節點庫中既不存在源地址信息，也不存在宿地址信息，則該條流不是以太坊流量，該次識別結束，若在活躍節點庫中查找到了源地址或宿地址信息，轉入步驟(23)；

(23)判斷該條流是否具有高端口號的特性，若端口號低，則該條流不是以太坊流量，該次識別結束，若使用了高端口號，轉入步驟(24)；

(24)判斷該條流的傳輸層協議類型，若是UDP協議，轉入(25)，若是TCP協議，轉入(27)，否則，該條流不是以太坊流量，該次識別結束；

(25)提取流量的報文大小特征，若報文大小分布于[110,200]或[280,300]間，且報文順序間存在Ping-Pong特征，則該條流是以太坊UDP流，將以太坊節點信息上報，并通過步驟(15)至步驟(16)對上報的以太坊節點信息進行處理，該次識別結束，否則，轉入步驟(26)；

(26)判斷返回報文大小是否為425和1057，且順序固定，若是，則該條流是以太坊UDP流，將以太坊節點信息上報，并通過步驟(15)至步驟(16)對上報的以太坊節點信息進行處理，該次識別結束，否則，該條流不是以太坊流量，該次識別結束；

(27)判斷在TCP三次握手后是否緊跟以太坊加密握手過程，雙方首次交換的報文大小在[400,600]之間，若不存在，則該條流不是以太坊流量，該次識別結束，否則，統計所有報文中標識報文的出現頻率，轉入步驟(28)；

(28)判斷標識報文的出現頻率是否大于預設的閾值，若標識報文出現頻率低于閾值，則該條流不是以太坊流量，該次識別結束，否則，該條流是以太坊TCP流，將以太坊節點信息上報，并通過步驟(15)至步驟(16)對上報的以太坊節點信息進行處理，該次識別結束。

2.根據權利要求1所述的一種輕量化以太坊加密流量識別方法，其特征在于，步驟(2)所述的報文和流的統計特征主要包括以太坊UDP流量識別中的端口、報文大小、報文到達順序及以太坊TCP流量識別中的以太坊握手過程、以太坊標識報文統計結果。

3.根據權利要求1所述的一種輕量化以太坊加密流量識別方法，其特征在于，步驟(11)、(13)和(15)中的以太坊節點信息指節點IP地址信息。

4.根據權利要求1所述的一種輕量化以太坊加密流量識別方法，其特征在于，步驟(15)中的超時時間從節點產生以太坊節點開始計時，至時間耗盡或再次產生了以太坊流量從而更新后為止。