[发明专利]基于关联性命令控制信息的流量识别方法及系统

权利要求书

1.一种基于关联性命令控制信息的流量识别方法，其特征在于，该方法包括步骤：

S1.对目标协议流量的初始握手交互过程进行分析，获得载荷中包含的命令控制信息集合，以及所述命令控制信息之间以交互为主要特征的关联的集合；

S2.根据五元组将待识别的流量分成多条流；

S3.按照目标协议的消息重组的启发性条件集合，判断待识别的流是否能够进行目标协议的消息重组，若不能，则载入下一条流，并重新执行步骤S3，若能，则执行步骤S4；

S4.检查待识别的流的消息中是否包含所述命令控制信息集合中的项，若不包含，则判断该流为非所述目标协议流量，载入下一条流，并返回步骤S3，若包含，则执行步骤S5；

S5.判断待识别的流的消息的命令控制信息是否符合所述关联集合中的项，若不符合，则判断所述流为非所述目标协议流量，载入下一条流，并返回步骤S3，若符合，则判定所述流为所述目标协议流量，载入下一条流，并返回步骤S3。

2.如权利要求1所述的基于关联性命令控制信息的流量识别方法，其特征在于，在步骤S1进一步包括：

S1.1抓取目标协议纯流量；

S1.2对所述目标协议纯流量进行五元组分流；

S1.3定义所述目标协议的消息，得到所述目标协议的消息重组的启发性条件；

S1.4将所述目标协议纯流量中的每个流按照步骤S1.3中的定义及启发性条件进行消息重组，获得位于载荷开始位置的流量选定交互过程的命令控制信息集合，并对所述命令控制信息按照以交互为主要特征的进行关联；

S1.5对所述关联进行相似度聚类和简化，获得命令控制信息之间的关联的集合。

3.如权利要求2所述的基于关联性命令控制信息的流量识别方法，其特征在于，步骤S1.1中，抓取方法为在虚拟机中通过防火墙、以及抓包工具，运行所述目标协议软件，抓取所述目标协议纯流量。

4.如权利要求2所述的基于关联性命令控制信息的流量识别方法，其特征在于，所述五元组为：源IP、目的IP、源端口、目的端口、以及协议号。

5.如权利要求2所述的基于关联性命令控制信息的流量识别方法，其特征在于，步骤S1.3中定义所述目标协议的消息进一步包括：

S1.31定义目标协议的流，为在设定时间内具有相同五元组的包组成的有序集合；

S1.32定义目标协议的消息，为目标协议的流中的一个独立的交互步骤，一个消息包括一个或多个所述包。

6.如权利要求2所述的基于关联性命令控制信息的流量识别方法，其特征在于，步骤S1.4中，每个消息的中所包含的有效属性包括：命令、长度、是否包含传输数据。

7.如权利要求2所述的基于关联性命令控制信息的流量识别方法，其特征在于，步骤S1.5中的相似度聚类的方法为k-means聚类算法。

8.一种基于关联性命令控制信息的流量识别系统，其特征在于，该系统包括：

分析模块，用于对目标协议流量的初始握手交互过程进行分析，获得载荷中包含的命令控制信息集合，以及所述命令控制信息之间以交互为主要特征的关联的集合；

分流模块，用于根据五元组将待识别的流量分成多条流；

第一识别模块，用于按照目标协议的消息重组的启发性条件集合，判断待识别的流是否能够进行目标协议的消息重组；

第二识别模块，用于检查待识别的流的消息中是否包含所述命令控制信息集合中的项；

第三识别模块，用于判断待识别的流的消息的命令控制信息是否符合所述关联集合中的项，若不符合，则判断所述流为非所述目标协议流量若符合，则判定所述流为所述目标协议流量。

9.如权利要求8所述的基于关联性命令控制信息的流量识别系统，其特征在于，所述敏捷分析模块进一步包括：

抓取单元，用于抓取目标协议纯流量；

分流单元，用于对所述目标协议纯流量进行五元组分流；

定义单元，用于定义所述目标协议的消息，得到所述目标协议的消息重组的启发性条件；

消息重组单元，将所述目标协议纯流量中的每个流按照定义单元中的定义及启发性条件进行消息重组，获得位于载荷开始位置的流量选定交互过程的命令控制信息集合，并对所述命令控制信息按照以交互为主要特征的进行关联；

聚类单元，用于对所述关联进行相似度聚类和简化，获得命令控制信息之间的关联的集合。