[發明專利]一種ICMP隧道的檢測方法、裝置、存儲介質和電子設備

有效

• 申請號: 202011257029.X
• 申請日: 2020-11-10
• 公開（公告）號: CN112437062B
• 公開（公告）日: 2023-03-07
• 發明（設計）人: 劉盈;董葉豪
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;H04L12/46
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 衡滔

1.一種因特網控制消息協議ICMP隧道的檢測方法，其特征在于，包括：

獲取ICMP數據包；

提取所述ICMP數據包中的有效載荷字段；

根據所述有效載荷字段，計算字符串距離，并利用所述字符串距離構建特征向量；

利用預先訓練好的檢測模型對所述特征向量進行檢測，以確定是否存在ICMP隧道；

其中，所述ICMP數據包包括第一請求數據包、第一響應數據包、第二請求數據包和第二響應數據包，且所述第二請求數據包為在所述第一響應數據包之后與所述第一響應數據包相鄰的數據包；

所述字符串距離包括第一類字符串距離、第二類字符串距離和第三類字符串距離，所述第一類字符串距離是通過計算所述第一請求數據包中的有效載荷字段和所述第一響應數據包中的有效載荷字段之間的字符串距離確定的，所述第二類字符串距離是通過計算所述第一請求數據包中的有效載荷字段和所述第二請求數據包中的有效載荷字段之間的字符串距離確定的，所述第三類字符串距離是通過計算所述第一響應數據包中的有效載荷字段和所述第二響應數據包中的有效載荷字段之間的字符串距離確定的。

2.根據權利要求1所述的檢測方法，其特征在于，在所述利用預先訓練好的檢測模型對所述特征向量進行檢測之前，所述檢測方法包括：

利用特征矩陣樣本對初始檢測模型進行訓練，獲得所述預先訓練好的檢測模型，其中，所述特征矩陣樣本是由特征向量樣本構建的。

3.根據權利要求1所述的檢測方法，其特征在于，所述獲取ICMP數據包，包括：

通過離線方式獲取所述ICMP數據包。

4.一種因特網控制消息協議ICMP隧道的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取ICMP數據包；

提取模塊，用于提取所述ICMP數據包中的有效載荷字段；

計算創建模塊，用于根據所述有效載荷字段，計算字符串距離，并利用所述字符串距離構建特征向量；

確定模塊，用于利用預先訓練好的檢測模型對所述特征向量進行檢測，以確定是否存在ICMP隧道；

其中，所述ICMP數據包包括第一請求數據包、第一響應數據包、第二請求數據包和第二響應數據包，且所述第二請求數據包為在所述第一響應數據包之后與所述第一響應數據包相鄰的數據包；

所述字符串距離包括第一類字符串距離、第二類字符串距離和第三類字符串距離，所述第一類字符串距離是通過計算所述第一請求數據包中的有效載荷字段和所述第一響應數據包中的有效載荷字段之間的字符串距離確定的，所述第二類字符串距離是通過計算所述第一請求數據包中的有效載荷字段和所述第二請求數據包中的有效載荷字段之間的字符串距離確定的，所述第三類字符串距離是通過計算所述第一響應數據包中的有效載荷字段和所述第二響應數據包中的有效載荷字段之間的字符串距離確定的。

5.根據權利要求4所述的檢測裝置，其特征在于，所述檢測裝置包括：

訓練模塊，用于利用特征矩陣樣本對初始檢測模型進行訓練，獲得所述預先訓練好的檢測模型，其中，所述特征矩陣樣本是由特征向量樣本構建的。

6.根據權利要求4所述的檢測裝置，其特征在于，所述獲取模塊，用于通過離線方式獲取所述ICMP數據包。

7.一種存儲介質，其特征在于，所述存儲介質上存儲有計算機程序，所述計算機程序被處理器運行時執行如權利要求1-3任一所述的因特網控制消息協議ICMP隧道的檢測方法。

8.一種電子設備，其特征在于，包括：處理器、存儲器和總線，所述存儲器存儲有所述處理器可執行的機器可讀指令，當所述電子設備運行時，所述處理器與所述存儲器之間通過總線通信，所述機器可讀指令被所述處理器執行時執行如權利要求1-3任一所述的因特網控制消息協議ICMP隧道的檢測方法。