[發明專利]一種基于NTP報文數據的攻擊行為檢測方法及裝置

在審

• 申請號: 202011531760.7
• 申請日: 2020-12-22
• 公開（公告）號: CN112615870A
• 公開（公告）日: 2021-04-06
• 發明（設計）人: 楊鶴
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京金信知識產權代理有限公司 11225
• 代理人: 韓岳松

1.一種基于NTP報文數據的攻擊行為檢測方法，其特征在于，包括：

獲取NTP報文數據；

判斷所述NTP報文數據中是否存在擴展域填充字段；

當存在擴展域填充字段時，基于隨機森林算法模型判斷所述擴展域填充字段中是否存在攻擊行為；

輸出與所述隨機森林算法模型的判斷結果相應的信息。

2.如權利要求1所述的方法，其特征在于，基于隨機森林算法模型判斷所述擴展域填充字段中是否存在攻擊行為，包括：

對所述擴展域填充字段進行預處理；

將預處理后的擴展域填充字段輸入至隨機森林算法模型。

3.如權利要求2所述的方法，其特征在于，所述對所述擴展域填充字段進行預處理，包括：

對所述擴展域填充字段中的數據完整性進行判斷；

當所述擴展域填充字段中的數據完整時，生成所述數據對應的特征向量。

4.如權利要求3所述的方法，其特征在于，所述方法還包括：

在生成所述數據對應的特征向量之后，判斷所述特征向量的數量是否處于第一范圍內；

當所述特征向量的數量處于第一范圍內時，將所述特征向量輸入至分類算法模型中；

當所述特征向量的數量處于第一范圍之外時，重新提取NTP數據。

5.如權利要求3所述的方法，其特征在于，所述對所述擴展域填充字段中的數據完整性進行判斷，包括：

判斷擴展域填充字段的字節數是否處于第二范圍內；

當所述擴展域填充字段的字節數處于第二范圍內時，判斷所述擴展域填充字段的預設特征是否缺失；

當所述擴展域填充字段的預設特征未缺失時，確定所述擴展域填充字段中的數據完整。

6.如權利要求1所述的方法，其特征在于，所述方法還包括：

獲取所述NTP報文數據中最低有效位字段；

基于隨機森林算法模型判斷所述最低有效位字段中是否存在攻擊行為。

7.如權利要求1-6任意一項所述的方法，其特征在于，所述輸出與所述隨機森林算法模型的判斷結果相應的信息，包括：

當所述擴展域填充字段中不存在攻擊行為時，顯示所述NTP報文合法的提示信息；

當所述擴展域填充字段中存在攻擊行為時，顯示所述NTP報文數據中存在攻擊行為的提示信息，并發出報警信息。

8.一種基于NTP報文數據的攻擊行為檢測裝置，其特征在于，包括：

獲取模塊，用于獲取NTP報文數據；

第一判斷模塊，用于判斷所述NTP報文數據中是否存在擴展域填充字段；

第二判斷模塊，用于當存在擴展域填充字段時，基于隨機森林算法模型判斷所述擴展域填充字段中是否存在攻擊行為；

輸出模塊，用于輸出與所述隨機森林算法模型的判斷結果相應的信息。

9.如權利要求8所述的裝置，其特征在于，所述第二判斷模塊，包括：

預處理子模塊，用于對所述擴展域填充字段進行預處理；

輸入子模塊，用于將預處理后的擴展域填充字段輸入至隨機森林算法模型。

10.如權利要求9所述的裝置，其特征在于，所述預處理子模塊，具體用于：

對所述擴展域填充字段中的數據完整性進行判斷；

當所述擴展域填充字段中的數據完整時，生成所述數據對應的特征向量。