[發明專利]一種基于數據包特征提取的網絡數據流異常檢測方法

在審

• 申請號: 202010659440.3
• 申請日: 2020-07-09
• 公開（公告）號: CN111865951A
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 石小川;黃建福;陳瑜靚;張晶;劉家祥;劉琦;趙昆楊
• 申請（專利權）人: 福建奇點時空數字科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/24
• 代理公司: 北京化育知識產權代理有限公司 11833
• 代理人: 尹均利

1.一種基于數據包特征提取的網絡數據流異常檢測方法，其特征在于，包括以下具體步驟：

S1、實時采集數據包，并將得到的數據包分割成多個固定長度的數據段，將具有相同內容的數據段歸為一類，以對所述數據段進行歸類，得到樣本數據庫；

S2、構建防火墻上層策略；

S3、監測網絡線路上的網絡流量的網絡數據包特征屬性，并獲取網絡數據流的基本信息；

S4、將S3中得到的網絡數據包按照S1中的分割方式，得到多個數據段；判斷得到的數據段是否全部包含在樣本數據庫中；

將S3中得到的基本信息與防火墻上層策略中的索引信息進行匹配，根據與防火墻上層策略的匹配結果，對網絡數據流進行處理；

S5、若S4中得到的數據段均包含在樣本數據庫中或防火墻上層策略中的索引信息和S3中得到的基本信息相匹配，則根據網絡數據包特征屬性，對所屬類型的網絡數據包進行發送；所屬網絡數據流無異常；

若S4中得到的數據段至少有一個數據段部包含在樣本數據庫中或防火墻上層策略中的索引信息和S3中得到的基本信息不匹配，則對網絡數據包進行清除處理；所屬網絡數據流存在異常。

2.根據權利要求1所述的一種基于數據包特征提取的網絡數據流異常檢測方法，其特征在于，S3中得到的基本信息與防火墻上層策略中的索引信息進行匹配包括：對網絡數據流依據開放系統互聯網絡協議棧模型中的2-4層進行數據解碼，獲取基本信息；判斷上述基本信息與防火墻上層策略的索引信息是否滿足預設的匹配條件。

3.根據權利要求1所述的一種基于數據包特征提取的網絡數據流異常檢測方法，其特征在于，基本信息包括源互聯網協議IP、源端口、目的IP、目的端口信息和/或網絡協議。

4.根據權利要求1所述的一種基于數據包特征提取的網絡數據流異常檢測方法，其特征在于，防火墻上層策略為入侵檢測策略、URL過濾策略、內容安全策略或防病毒策略中的一種或多種。

5.根據權利要求1所述的一種基于數據包特征提取的網絡數據流異常檢測方法，其特征在于，S1中對數據包分割成多個固定長度的數據段后通過哈希函數將歸為一類的內容相同的多個數據段映射到同一個哈希值上，將哈希值作為與歸為一類的內容相同的數據段及其偏移值對應的數據段類型值，且所述數據段類型值與所述接收的數據包對應，過濾對應的數據段的數量小于或等于數據段統計閾值的數據段類型值。

6.根據權利要求1所述的一種基于數據包特征提取的網絡數據流異常檢測方法，其特征在于，網絡數據包特征屬性信息包括在各個時間窗口內的網絡數據包數量信息、網絡數據包尺寸數量分布信息以及數據包發送間隔分布信息。