[发明专利]基于关联性命令控制信息的流量识别方法及系统

说明书

技术领域

本发明涉及信息安全与监控技术领域，尤其涉及一种基于关联性命令控制信息的流量识别方法及系统。

背景技术

网络流分类和协议识别技术是信息安全和监控领域中的核心技术。其主要任务是根据网络流及流内报文包含的信息识别出流所属的网络协议类别。随着高速互联网技术和多媒体技术的发展，网络的有效管理变得越来越富有挑战性。流分类是网络管理的基础，也是解决网络拥塞、确定关键性服务、组织网络攻击、追踪非法流量的基础。

现有的网络流分类和协议识别技术包括：基于包头的技术、基于协议的技术和基于行为的技术。分类和识别方法主要有：基于模式匹配的方法、基于统计的方法和基于机器学习的方法。

基于包头和协议的技术通过对包中载荷里的字段分析，得到目标协议中特定字段的固定模式，并应用模式匹配的方法进行协议识别。该类方法识别速度快，准确率高，但是更新代价较大，无法识别加密流量和协议。

基于行为的技术主要利用目标协议在网络中的传输行为特征，应用统计和机器学习的方法进行网络流分类和识别。该类方法一般情况下的识别速度和准确率都逊于基于包头和协议的匹配方法。但是，该类方法不需要分析载荷中的内容，因此能够识别加密流量。

尽管传统的基于端口的流分类方法和基于固定载荷特征的流分类方法仍然在大量使用，但是越来越多的动态协议和加密协议使得基于包的流分类方法有效性不断降低。

发明内容

(一)要解决的技术问题

本发明所要解决的技术问题是：提高流识别的速度、有效性以及适用范围。

(二)技术方案

为解决上述问题，本发明提供了一种基于关联性命令控制信息的流量识别方法，该方法包括步骤：

S1.对目标协议流量的初始握手交互过程进行分析，获得载荷中包含的命令控制信息集合，以及所述命令控制信息之间以交互为主要特征的关联的集合；

S2.根据五元组将待识别的流量分成多条流；

S3.按照目标协议的消息重组的启发性条件集合，判断待识别的流是否能够进行目标协议的消息重组，若不能，则载入下一条流，并重新执行步骤S3，若能，则执行步骤S4；

S4.检查待识别的流的消息中是否包含所述命令控制信息集合中的项，若不包含，则判断该流为非所述目标协议流量，载入下一条流，并返回步骤S3，若包含，则执行步骤S5；

S5.判断待识别的流的消息的命令控制信息是否符合所述关联集合中的项，若不符合，则判断所述流为非所述目标协议流量，载入下一条流，并返回步骤S3，若符合，则判定所述流为所述目标协议流量，载入下一条流，并返回步骤S3。

其中，在步骤S1进一步包括：

S1.1抓取目标协议纯流量；

S1.2对所述目标协议纯流量进行五元组分流；

S1.3定义所述目标协议的消息，得到所述目标协议的消息重组的启发性条件；

S1.4将所述目标协议纯流量中的每个流按照步骤S1.3中的定义及启发性条件进行消息重组，获得位于载荷开始位置的流量选定交互过程的命令控制信息集合，并对所述命令控制信息按照以交互为主要特征的进行关联；

S1.5对所述关联进行相似度聚类和简化，获得命令控制信息之间的关联的集合。

其中，步骤S1.1中，抓取方法为在虚拟机中通过防火墙、以及抓包工具，运行所述目标协议软件，抓取所述目标协议纯流量。

其中，所述五元组为：源IP、目的IP、源端口、目的端口、以及协议号。

其中，步骤S1.3中定义所述目标协议的消息进一步包括：

S1.31定义目标协议的流，为在设定时间内具有相同五元组的包组成的有序集合；

S1.32定义目标协议的消息，为目标协议的流中的一个独立的交互步骤，一个消息包括一个或多个所述包。

其中，步骤S1.4中，每个消息的中所包含的有效属性包括：命令、长度、是否包含传输数据。

其中，步骤S1.5中的相似度聚类的方法为k-means聚类算法。