[發明專利]一種C＆C信道判別方法及系統

有效

• 申請號: 202110252226.0
• 申請日: 2021-03-08
• 公開（公告）號: CN113037749B
• 公開（公告）日: 2022-06-03
• 發明（設計）人: 黃偉慶;姜建國;石志鑫;殷其雷;呂彬;康肖鈺
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 楊明月

1.一種CC信道判別方法，其特征在于，包括：

獲取待識別流量；

基于行為刻畫對所述待識別流量進行分類，得到具有預設種類個數和預設行為特征個數的若干個原始特征；

對所述若干個原始特征進行特征選擇，得到待判斷行為特征；

基于預設機器學習算法識別所述待判斷行為特征，得到時間槽信道類型推斷結果；

根據預設CC信道特征對所述時間槽信道類型推斷結果進行綜合判定，得到CC信道架構類型判定結果；

所述基于行為刻畫對所述待識別流量進行分類，得到具有預設種類個數和預設行為特征個數的若干個原始特征，具體包括：

按照預設時間窗口將所述待識別流量劃分為若干個等長的時間槽；

在每個時間槽內采用預設五元組向量信息描述劃分后的待識別流量，得到第一網絡流集合，提取滿足預設條件的第一網絡流集合中的特征向量，構成第二網絡流集合；

采用所述行為刻畫對所述第二網絡流集合進行分類，得到所述若干個原始特征；

所述采用所述行為刻畫對所述第二網絡流集合進行分類，得到所述若干個原始特征，具體包括：

確定NODNS通信率類別，設定獲取一個網絡流集合中的獨立dstip屬性數目函數，基于所述獨立dstip屬性數目函數計算所述第二網絡流集合與所述第一網絡流集合的比值，得到第一特征；

確定NODNS IP地址分散度類別，設定獲取一個網絡流集合中的dstip屬性集合對應不同IP地址前綴數函數，基于所述dstip屬性集合對應不同IP地址前綴數函數計算所述第二網絡流集合與基于所述獨立dstip屬性數目函數計算所述第一網絡流集合的比值，得到第二特征；

確定NODNS端口分散度類別，提取所述第二網絡流集合中的TCP流，根據所述TCP流在對應的三個預設srcport屬性區間中分別占全部scport屬性值的比例以及所述TCP流在對應的三個預設dstport屬性區間中分別占全部dstport屬性值的比例，得到第三特征至第八特征，提取所述第二網絡流集合中的UDP流，根據所述UDP流在對應的三個預設srcport屬性區間中分別占全部scport屬性值的比例以及所述UDP流在對應的三個預設dstport屬性區間中分別占全部dstport屬性值的比例，得到第九特征至第十四特征；

確定NODNS尺度分散度類別，提取所述第二網絡流集合中的TCP流和UDP流，分別計算所述TCP和所述UDP流在五個預設流尺寸區間內所占比例，得到第十五特征至第二十四特征；

確定NODNS通信相似度類別，提取所述第二網絡流集合中所有具備相同protocol屬性和srcport屬性的相似網絡流，獲取所述相似網絡流全部的不同dstip屬性，針對所述相似網絡流中具有超過一個的所述不同dstip屬性的個數，計算所述不同dstip屬性的個數與基于所述dstip屬性集合對應不同IP地址前綴數函數計算所述第二網絡流集合的比值，得到第二十五特征。

2.根據權利要求1所述的CC信道判別方法，其特征在于，所述獲取待識別流量，具體包括：

從主機和服務器之間傳輸的數據中提取具有雙向傳送命令和數據的流量；

從所述流量中篩選出無需在通信前事先通過DNS請求及回復操作來獲取服務器地址的流量作為所述待識別流量。

3.根據權利要求1所述的CC信道判別方法，其特征在于，所述對所述若干個原始特征進行特征選擇，得到待判斷行為特征，具體包括：

獲取所述若干個原始特征的聯合概率密度函數，以及每個原始特征的邊緣概率函數；

基于所述聯合概率密度函數和任意兩個原始特征的邊緣概率函數，計算得到互信息；

由所述互信息得到各原始特征的重要性度量值，基于所述重要性度量值和預設配置參數個數，在所述原始特征中獲得具有所述預設配置參數個數的所述待判斷行為特征。

4.根據權利要求1所述的CC信道判別方法，其特征在于，所述基于預設機器學習算法識別所述待判斷行為特征，得到時間槽信道類型推斷結果，具體包括：

獲取包括預設數量的訓練樣本數和預設基礎分類器的隨機森林分類器；

將所述待判斷行為特征輸入所述隨機森林分類器，得到所述時間槽信道類型推斷結果。