[發明專利]一種基于流量切片的涉敏業務快速識別定位方法

有效

• 申請號: 202110250970.7
• 申請日: 2021-03-08
• 公開（公告）號: CN113037551B
• 公開（公告）日: 2022-11-04
• 發明（設計）人: 譚彬;莫曉斌;劉靜;鄧旭;張玉蘭;蘭世戰;鄧遠芬;梁業裕;何偉賢;寧建創
• 申請（專利權）人: 中國移動通信集團廣西有限公司
• 主分類號: H04L41/0894
• 分類號: H04L41/0894;G06F16/906
• 代理公司: 成都華復知識產權代理有限公司 51298
• 代理人: 任麗娜

1.一種基于流量切片的涉敏業務快速識別定位方法，其特征在于，所述基于流量切片的涉敏業務快速識別定位方法具體包括如下步驟：

1)通過鏡像或分光獲取鏈路原始流量；

2)解析網絡協議，利用網卡流量采集模塊對七層應用進行解析，根據特征匹配協議類型；

3)借助基于Storm框架的流式數據實時處理平臺進行數據切片操作，利用Storm自身的字段分組功能，結合Storm中bolt單元的數據處理和分發能力，構建三層數據切片架構；

4)基于業務標簽庫，快速定位涉敏業務；

所述三層數據切片架構包括物理分組層、邏輯分組層和數據分析層，

所述借助基于Storm框架的流式數據實時處理平臺進行數據切片操作具體包括如下步驟：

(1)所述物理分組層利用Storm自身的流分組功能對上層應用協議進行分組，對協議分組切片，實現自動動態分配設備資源，對TCP流量利用Storm自身的流分組功能，根據端口和協議特征字符對上層應用協議進行分組切片；

(2)所述邏輯分組層基于協議和目的IP進行分組，利用網絡切片技術對分組進行切片，過濾躁流量，縮小處理范圍；

(3)所述數據分析層基于協議、目的IP和源IP對IP數據報文進行分組，對數據包進行切片，快速定位訪問業務。

2.根據權利要求1所述的基于流量切片的涉敏業務快速識別定位方法，其特征在于，所述動態分配設備資源具體包括：

將每個切片看成一個整體來分配資源，假設設備閾值線程數為M，先為每個切片分配最低要求的線程資源N₁、N₂、N₃…，然后進行協議處理優先級的計算，協議優先級P_k(t)定義如下:

其中P_k(t)為t時刻k協議的瞬時速率，為到t時刻前兩個時刻k協議的平均流量大小；

整體切片的優先級P_i(t)定義如下，

其中P_i(t)為t時刻分組切片協議的瞬時速率,為到t時刻前兩個時刻分組切片協議的平均流量大小；

將剩余的線程數按照P_k(t)/P_i(t)進行分配，P_k(t)/P_i(t)值越大，切片的優先級越高，分配的線程資源越多。

3.根據權利要求1所述的基于流量切片的涉敏業務快速識別定位方法，其特征在于，所述網絡切片技術包括使用一個靜態Storm對協議和目的IP進行切片，對第一次切片后的數據創建若干初始化Storm拓撲結構，并將所述初始化Storm拓撲結構的拓撲配置保存至Zookeeper Server。

4.根據權利要求3所述的基于流量切片的涉敏業務快速識別定位方法，其特征在于，所述對數據包進行切片包括所述Zookeeper Server根據拓撲配置信息，利用平衡算法分配若干計算節點，完成數據分析。

5.根據權利要求4所述的基于流量切片的涉敏業務快速識別定位方法，其特征在于，所述拓撲配置信息包含一級協議名、二級目的IP/端口、源IP數組和業務URL，所述源IP數組中包含所有源IP。

6.根據權利要求1所述的基于流量切片的涉敏業務快速識別定位方法，其特征在于，所述基于業務標簽庫，快速定位涉敏業務具體包括如下步驟：

(1)下發業務標簽庫，業務標簽庫包含訪問目標IP+端口和URL特征；

(2)信息比對，將拓撲配置信息與業務標簽庫進行比對，當拓撲配置信息能夠匹配業務標簽庫信息時，為當前節點打上標簽，并根據標簽類型進行后續處理，當拓撲配置信息無法匹配業務標簽庫信息時，進入步驟(3)；

(3)數據流還原，經過數據流重組、解析、還原，對協議請求頭和內容進行輸出供后續分析；

(4)未知業務聚類抽樣；

(5)內容識別，對還原后的未知業務樣本訪問內容，結合敏感數據識別技術手段，檢測未知業務中是否存在敏感數據；

(6)更新業務標簽庫，根據上一步的識別結果，對未知業務打上標簽，并提取URL特征信息，同步更新到業務標簽庫中。