[发明专利]网络失窃密行为的异常检测方法及系统

说明书

技术领域

本发明涉及网络安全领域，特别涉及网络失窃密行为的异常检测方法及系统。

背景技术

近年来，随着网络入侵技术的发展以及木马、病毒、僵尸程序等恶意代码的泛滥，网络与信息安全问题日益突出，尤其是网络失密、窃密(合成网络失窃密)事件层出不穷，其中不乏影响重大的安全事件，危及社会经济和国家安全。因此，针对网络失密行为和窃密行为检测(合成网络失窃密行为检测)的研究工作显得尤为重要。

与网络入侵检测类似，网络失窃密行为检测方法也可分为误用检测和异常检测两类。误用检测主要通过对失窃密行为的深入分析，提取其相对应的固定特征(一般为字符串特征或二进制串特征)，并结合涉密敏感关键词等特征，对网络数据进行特征模式匹配，如果匹配成功则认为存在失窃密行为。而异常检测的一般原理是通过对网络历史数据的统计分析，预先建立网络正常活动的行为轮廓，然后在检测时统计当前网络行为，如果当前行为与正常行为轮廓的偏离程度超过一定范围则认为当前行为为网络失窃密行为。

现有技术中的网络入侵检测往往采用误用检测方法，该类方法较适合对已知行为进行检测，在选取恰当关键词或特征的前提下具有高效、准确等优点。然而，由于误用检测方法固有的不足，导致现有技术存在以下问题：

1)缺乏对未知失窃密事件的发现能力；

2)由于误用检测方法只能对明文信息进行检测，因此现有方法缺乏对加密信息的检测能力；

3)在应用实践中，由于失窃密行为的变异以及新行为的出现导致固定特征提取很难，或跟不上失窃密行为的变化，因而检测效果不佳。

发明内容

本发明的目的是克服现有的网络失窃密行为异常检测方法缺乏对未知失窃密事件的发现能力、检测效果不佳等缺陷，从而提供一种高效、快捷的网络失窃密行为的异常检测方法。

为了实现上述目的，本发明提供了一种网络失窃密行为的异常检测方法，包括：

步骤1)、接收网络数据包，并对所得到的网络数据包做协议还原；

步骤2)、将所述网络数据包与关注目标做相关性判断，抛弃不具有相关性的网络数据包，对具有相关性的网络数据包执行下一步；

步骤3)、判定与所述关注目标相关的网络数据包所属的连接；其中，所述连接包括TCP连接或UDP连接；

步骤4)、对与所述关注目标相关的所有连接上的检测特征向量进行统计；其中，

所述检测特征向量包括用于表示当前连接最近一次发生访问的时间至检测时的时间间隔的最近访问间隔特征last_interval、用于表示检测时间间隔内当前连接的平均流量的流量特征traffic、用于表示当前连接最近若干次发生访问的时间间隔所呈现出的周期性的行为周期性特征period、用于表示在检测时间间隔内与当前连接具有相同sip且相继发生访问的连接的个数的同sip连接相继访问特征sip_count、用于表示在检测时间间隔内与当前连接具有相同dip的连接的个数的同dip的连接特征dip_count；

步骤5)、根据统计结果，计算与所述关注目标相关的连接所对应的检测特征向量中各个检测特征的值；

步骤6)、根据所述检测特征的值判断对应连接是否存在异常。

上述技术方案中，在所述的步骤1)之前还包括学习阶段，所述学习阶段包括步骤1)-步骤4)，以得到与所述关注目标相关的所有连接上的检测特征向量的大量统计结果。

上述技术方案中，在所述的步骤2)中，所述的相关性判断包括：

将所述网络数据包的源IP地址或目的IP地址与所述关注目标的IP地址进行匹配，若所述源IP地址、目的IP地址两者之一与所述关注目标的IP地址相匹配，则所述网络数据包与所述关注目标存在相关性，否则，不存在相关性。

上述技术方案中，所述的步骤3)包括：

步骤3-1)、当与所述关注目标相关的网络数据包为TCP同步包时，若该网络数据包不属于一个已有连接，则为该网络数据包建立一个新的TCP连接，若该网络数据包属于一个已有连接，则开始对该已有连接的新访问；

步骤3-2)、当与所述关注目标相关的网络数据包为TCP非同步包时，若该网络数据包不属于一个已有连接，则丢弃该网络数据包，若该网络数据包属于一个已有连接，则保留该网络数据包；