[發明專利]一種云數據安全識別與分類方法

有效

• 申請號: 202110388604.8
• 申請日: 2021-04-12
• 公開（公告）號: CN113114671B
• 公開（公告）日: 2023-03-24
• 發明（設計）人: 夏虹;周德;包亦誠
• 申請（專利權）人: 常熟市國瑞科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/906
• 代理公司: 南京中高專利代理有限公司 32333
• 代理人: 徐福敏

1.一種云數據安全識別與分類方法，其特征在于，包括：

根據流形調性將流量分離成若干個流泡，若所述流形調性的特征為短時間、高密度和大報文，則將所述流量分類為文件傳輸流量，并根據切割后的報文大小來判斷前后報文的歸屬；若所述流形調性的具有突發特征，則將所述突發特征作為標識，劃分為流媒體傳輸流量；

對所述流泡中的重復性行為進行攻擊事件識別，根據信息熵統計所述流泡中的隨機特征信息；當第一隨機特征信息和第二隨機特征信息的相關熵超出閾值時，將所述第一隨機特征信息對應的第一行為和所述第二隨機特征信息對應的第二行為歸納為重復性行為；若發現存在多種所述重復性行為或多次所述重復性行為，則推測攻擊事件的產生；

將所述流泡中的交互模式特征與攻擊行為交互模式特征進行匹配，獲得所述流量對應的攻擊行為描述，提取攻擊者與被攻擊主機之間的穩定的、序列化的流量交互性特征，將所述流量交互性特征定義為一個拓撲單元中的洞；若所述洞在所述拓撲單元中進行平移、旋轉和縮放中至少一種操作后，仍然存在，則以時間與流量傳輸方向作為二維歐式空間的兩個坐標軸，將所述流量交互性特征表示為一個櫛，通過對該櫛進行檢測分析，對流量在攻擊行為下進行分類；

通過分簇處理對所述流量的心跳包序列進行檢測，將在時序上關系緊密的數據包的集合定義為包簇；若相鄰兩個數據包的時間間隔不大于預設時間，則認為兩個所述數據包在同一包簇內；否則，判斷這兩個所述數據包分屬于不同包簇；

根據所述心跳包序列對所述流量進行分類，將多個攻擊行為事件根據所述心跳包序列所在的包簇進行分類；將多個所述攻擊行為事件對應的所述流量歸納至相應的惡意軟件家族；根據心跳間隔和心跳報文長度對所述心跳包序列進行分類。

2.根據權利要求1所述的云數據安全識別與分類方法，其特征在于，在將所述流泡中的交互模式特征與攻擊行為交互模式特征進行匹配，獲得所述流量對應的攻擊行為描述之前，還包括：

通過歷史數據與公開數據，結合攻擊樣本在白盒和/或沙盒環境下運行獲得的特征數據，構建攻擊行為特征庫。