[發明專利]一種網絡異常行為檢測方法、裝置及電子設備

在審

• 申請號: 202210206261.3
• 申請日: 2022-02-28
• 公開（公告）號: CN114826646A
• 公開（公告）日: 2022-07-29
• 發明（設計）人: 劉紫千;常力元;孫福興;李金偉;余啟明;顧慶崴;陳林;劉長波
• 申請（專利權）人: 天翼安全科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L45/24
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 王寧寧

1.一種網絡異常行為檢測方法，其特征在于，包括：

獲取多路傳輸控制協議MPTCP數據包；

獲取所述MPTCP數據包的四元組信息和令牌信息；

根據所述四元組信息確定屬于同一子流的MPTCP數據包；

根據所述令牌信息和所述四元組信息確定屬于同一MPTCP流的子流；

根據預設規則檢測各個所述MPTCP流，確定所述MPTCP流包含的所述MPTCP數據包是否存在異常行為。

2.根據權利要求1所述的方法，其特征在于，所述獲取所述MPTCP數據包的四元組信息和令牌信息，具體包括：

獲取所述MPTCP數據包的鏡像；

獲取所述鏡像的所述四元組信息和所述令牌信息。

3.根據權利要求1所述的方法，其特征在于，所述根據所述四元組信息確定屬于同一子流的MPTCP數據包，具體包括：

確定所述四元組信息相同的所述MPTCP數據包為所述屬于同一子流的MPTCP數據包。

4.根據權利要求1所述的方法，其特征在于，還包括：

獲取所述MPTCP數據包的子流序列號SSN；

將屬于所述同一子流的所述MPTCP數據包與所述MPTCP數據包的所述四元組信息的映射關系按照SSN存儲至鏈表；

將所述鏈表與所述鏈表中存儲的四元組信息的映射關系存儲至哈希表。

5.根據權利要求1所述的方法，其特征在于，所述根據所述令牌信息和所述四元組信息確定屬于同一MPTCP流的子流，具體包括：

所述四元組信息包括所述MPTCP數據包的目的網際互連協議IP地址；

確定所述令牌信息和所述目的IP地址相同的子流屬于同一MPTCP流。

6.根據權利要求1所述的方法，其特征在于，還包括：

獲取所述MPTCP數據包的數據序列號DSN；

根據所述DSN確定屬于同一所述MPTCP流的所述MPTCP數據包的接收時間的先后順序。

7.一種網絡異常行為檢測裝置，其特征在于，包括：

獲取單元，用于獲取多路傳輸控制協議MPTCP數據包；獲取所述MPTCP數據包的四元組信息和令牌信息；

處理單元，用于根據所述四元組信息確定屬于同一子流的MPTCP數據包；根據所述令牌信息和所述四元組信息確定屬于同一MPTCP流的子流；根據預設規則檢測各個所述MPTCP流，確定所述MPTCP流包含的所述MPTCP數據包是否存在異常行為。

8.根據權利要求7所述的裝置，其特征在于，所述獲取單元獲取所述MPTCP數據包的四元組信息和令牌信息時，具體用于：

獲取所述MPTCP數據包的鏡像；

獲取所述鏡像的所述四元組信息和所述令牌信息。

9.根據權利要求7所述的裝置，其特征在于，所述處理單元根據所述四元組信息確定屬于同一子流的MPTCP數據包時，具體用于：

確定所述四元組信息相同的所述MPTCP數據包為所述屬于同一子流的MPTCP數據包。

10.根據權利要求7所述的裝置，其特征在于，所述獲取單元還用于獲取所述MPTCP數據包的子流序列號SSN；

所述處理單元還用于：將屬于所述同一子流的所述MPTCP數據包與所述MPTCP數據包的所述四元組信息的映射關系按照SSN存儲至鏈表；

將所述鏈表與所述鏈表中存儲的四元組信息的映射關系存儲至哈希表。

11.根據權利要求7所述的裝置，其特征在于，所述處理單元根據所述令牌信息和所述四元組信息確定屬于同一MPTCP流的子流時，具體用于：

所述四元組信息包括所述MPTCP數據包的目的網際互連協議IP地址；

確定所述令牌信息和所述目的IP地址相同的子流屬于同一MPTCP流。