[發明專利]主機聚類方法及裝置

有效

• 申請號: 202110727288.2
• 申請日: 2021-06-29
• 公開（公告）號: CN113452714B
• 公開（公告）日: 2022-11-18
• 發明（設計）人: 谷源濤;蒙治伸;張振威
• 申請（專利權）人: 清華大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/906
• 代理公司: 北京林達劉知識產權代理事務所(普通合伙) 11277
• 代理人: 劉新宇

1.一種主機聚類方法，其特征在于，方法包括：

獲取通信網絡在目標時間段內的多個網絡數據包；

對每個網絡數據包進行數據提取，確定對應的網絡流元數據；

根據所有網絡流元數據，確定待聚類主機以及所述待聚類主機的主機行為特征；

根據所述主機行為特征，對所述待聚類主機進行聚類，得到所述目標時間段的主機聚類結果。

2.根據權利要求1所述的方法，其特征在于，所述對每個網絡數據包進行數據提取，確定對應的網絡流元數據，包括：

通過目標進程提取每個網絡數據包對應的網絡流元數據，

其中，所述目標進程是多個獨立的子任務拼接確定的，所述目標進程包括的子任務以及所述子任務的拼接關系是根據場景類型確定的。

3.根據權利要求1所述的方法，其特征在于，所述網絡流元數據包括源IP、目的IP以及網絡流量，

其中，根據所有網絡流元數據，確定待聚類主機，包括：

根據所述所有網絡流元數據，確定目標主機的連接次數以及網絡流量之和，所述目標主機為包括至少一個所述網絡流元數據中源IP或目的IP的主機；

在所述連接次數大于或等于第一閾值，且所述網絡流量之和大于或等于第二閾值時，將所述目標主機確定為所述待聚類主機。

4.根據權利要求1所述的方法，其特征在于，所述網絡流元數據包括源IP以及目的IP，

其中，根據所有網絡流元數據，確定所述待聚類主機的主機行為特征，包括：

根據所述所有網絡流元數據的源IP以及目的IP，確定包括待聚類主機IP的目標網絡流元數據；

根據所述目標網絡流元數據，確定所述待聚類主機的主機行為特征，

其中，所述主機行為特征包括所述待聚類主機的連接特征、所述待聚類主機的在網絡中的功能特征、所述待聚類主機的流量特征以及所述待聚類主機的應用特征中的一種或多種。

5.根據權利要求4所述的方法，其特征在于，所述根據所述目標網絡流元數據，確定所述待聚類主機的主機行為特征，包括：

根據所述目標網絡流元數據，確定與所述待聚類主機存在主機通信的IP集合；

確定所述IP集合中的IP數量、第二個字節的熵與第四個字節的熵之間的比值R1以及第三個字節的熵與第四個字節的熵之間的比值R2，其中，字節的熵是根據所述IP集合中所有IP的對應字節的數值分布信息確定的；

根據所述IP集合中的IP數量、所述比值R1以及所述比值R2，確定所述待聚類主機的連接特征。

6.根據權利要求4所述的方法，其特征在于，所述網絡流元數據還包括源端口以及目的端口，

其中，所述根據所述目標網絡流元數據，確定所述待聚類主機的主機行為特征，包括：

根據每個目標網絡流元數據的源端口以及目的端口，確定所述待聚類主機的源端口數量、目的端口數量以及端口類型，其中，所述端口類型包括系統端口、用戶端口以及動態端口；

根據所述源端口數量、目的端口數量以及端口類型，確定所述待聚類主機的在網絡中的功能特征。

7.根據權利要求4所述的方法，其特征在于，所述網絡流元數據還包括網絡流量、傳輸時間信息以及傳輸層協議，所述方法還包括：確定歷史時間段內所述待聚類主機的目標網絡流元數據的第一數量以及所述目標時間段內目標網絡流元數據的第二數量，

其中，所述根據所述目標網絡流元數據，確定所述待聚類主機的主機行為特征，包括：

根據所述第一數量、所述第二數量以及目標時間段的數量，確定所述待聚類主機的網絡流平均包個數，所述目標時間段的數量是根據歷史時間段與目標時間段確定的；

根據目標網絡流元數據的網絡流量之和以及所述目標時間段的時長，確定待聚類主機的平均流量；

根據目標網絡流元數據的網絡流量之和以及目標網絡元數據的數量，確定平均包數據量；

根據所述傳輸時間信息，確定平均持續時間；

根據所述傳輸層協議以及所述目標時間段的時長，確定流平均標識位數量；

根據所述網絡流平均包個數、平均流量、平均包數據量、平均持續時間、流平均標識位數量，確定所述待聚類主機的流量特征。