[發明專利]一種CC信道混合檢測方法及系統

在審

• 申請號: 202110251192.3
• 申請日: 2021-03-08
• 公開（公告）號: CN113037748A
• 公開（公告）日: 2021-06-25
• 發明（設計）人: 姜建國;黃偉慶;石志鑫;殷其雷;李梅梅;翁騰凡
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 楊明月

1.一種CC信道混合檢測方法，其特征在于，包括：

獲取待測試流量；

基于啟發式規則對所述待測試流量中的非CC流量進行過濾，得到初始流量過濾結果；

基于異常行為檢測模型對所述初始流量過濾結果進行CC流量識別，得到異常檢測結果；

根據預設判定規則對所述異常檢測結果進行集成判定，得到最終CC流量檢測結果。

2.根據權利要求1所述的CC信道混合檢測方法，其特征在于，所述基于啟發式規則對所述待測試流量中的非CC流量進行過濾，得到初始流量過濾結果，具體包括：

將任意一條待測試流量表示為預設五元組，所述預設五元組包括源IP地址、源端口、目的IP地址、目的端口和傳輸層協議；

將任意具有相同的所述目的IP地址、所述目的端口和所述傳輸層協議的待測試流量確定為相同類型的網絡活動；

采用持久性規則對所述網絡活動進行檢測，得到第一初始流量過濾結果；

采用隱蔽性規則對所述網絡活動進行檢測，得到第二初始流量過濾結果。

3.根據權利要求2所述的CC信道混合檢測方法，其特征在于，所述采用持久性規則對所述網絡活動進行檢測，得到第一初始流量過濾結果，具體包括：

計算所述網絡活動的持續時間，按照預設長度將所述持續時間依時序劃分至等長連續的時間槽中，并將包含上下交互流量的時間槽確定為交互時間槽，計算所述交互時間槽占全部時間槽的第一比例；

確定第一預設閾值和第二預設閾值，將所述持續時間大于等于所述第一預設閾值以及所述第一比例大于所述第二預設閾值的所述網絡活動確定為持久性活動，并將非持久性網絡活動直接濾除，得到所述第一初始流量過濾結果。

4.根據權利要求2所述的CC信道混合檢測方法，其特征在于，所述采用隱蔽性規則對所述網絡活動進行檢測，得到第二初始流量過濾結果，具體包括：

將所述網絡活動中上下行流量尺寸比例大于預設尺寸閾值的流確定為非隱蔽流，計算所述網絡活動的整體流量尺寸以及所述非隱蔽流占全部流的第二比例；

確定第三預設閾值、第四預設閾值和第五預設閾值，將所述整體流量尺寸介于所述第三預設閾值和所述第四預設閾值之間以及所述第二比例小于等于所述第五預設閾值的所述網絡活動確定為隱蔽性活動，并將非隱蔽性網絡活動直接濾除，得到所述第二初始流量過濾結果。

5.根據權利要求1所述的CC信道混合檢測方法，其特征在于，所述基于異常行為檢測模型對所述初始流量過濾結果進行CC流量識別，得到異常檢測結果，具體包括：

采用空間異常檢測模塊獲取所述初始流量過濾結果在空間維度的行為差異，得到第一異常檢測結果；

采用載荷異常檢測模塊獲取所述初始流量過濾結果在載荷維度的行為差異，得到第二異常檢測結果。

6.根據權利要求5所述的CC信道混合檢測方法，其特征在于，所述采用空間異常檢測模塊獲取所述初始流量過濾結果在空間維度的行為差異，得到第一異常檢測結果，具體包括：

通過將每條流中的前預設位數字節數據的每個字節轉換為預設長度灰度值，將每條流轉換為具有預設大小尺寸的灰度圖像；

獲取預設卷積自動編碼器，將所述灰度圖像輸入至所述預設卷積自動編碼器，得到所述第一異常檢測結果。

7.根據權利要求5所述的CC信道混合檢測方法，其特征在于，所述采用載荷異常檢測模塊獲取所述初始流量過濾結果在載荷維度的行為差異，得到第二異常檢測結果，具體包括：

分別提取HTTP類型流量的URI字節載荷，以及提取非HTTP類型流量的前預設位數字節載荷，得到字節載荷序列；

按照預設滑動窗口將所述字節載荷序列劃分為載荷短序列，并對所述載荷短序列中的每個字節進行獨熱編碼；

獲取基于門控循環單元的自動編碼器，將所述載荷短序列輸入所述基于門控循環單元的自動編碼器，得到所述第二異常檢測結果。