[发明专利]特征模式集生成方法及装置

权利要求书

1.一种特征模式集生成方法，其特征在于，所述方法包括：

从信令数据流中获取待分析的多个数据包，所述多个数据包的类型相同且等长度；

对所述多个数据包进行特征分析，得到所述多个数据包的高频字节串；

确定所述高频字节串的位置特征信息；

根据所述位置特征信息，生成与所述多个数据包的类型相匹配的特征模式集。

2.根据权利要求1所述的方法，其特征在于，所述对所述多个数据包进行特征分析，得到所述多个数据包的高频字节串，包括：

对于所述多个数据包中的一个数据包，对所述数据包中的每一个字节元素进行字符转换，得到所述每一个字节元素对应的字符类型标识；

确定所述每一个字节元素的字节值及所述每一个字节元素在所述数据包中的相对位置偏移；

判断所述多个数据包中同一相对位置偏移上的字节元素的字节值是否一致；

如果所述多个数据包中同一相对位置偏移上的字节元素的字节值一致，则所述字节元素为第一高频字节元素。

3.根据权利要求2所述的方法，其特征在于，所述确定所述每一个字节元素的字节值及所述每一个字节元素在所述数据包中的相对位置偏移之后，所述方法还包括：

判断所述多个数据包中同一相对位置偏移上的字节元素对应的字符类型标识是否为同一类型；

如果所述多个数据包中同一相对位置偏移上的字节元素对应的字符类型标识为同一类型，则所述字节元素为第二高频字节元素。

4.根据权利要求3所述的方法，其特征在于，所述确定所述高频字节串的位置特征信息之前，所述方法还包括：

生成所述每一个字节元素的参数项，所述参数项中包括所述每一个字节元素的字节值、所述每一个字节元素对应的字符类型标识及所述每一个字节元素在所述数据包中的相对位置偏移；

所述确定所述高频字节串的位置特征信息，包括：

获取所述第一高频字节元素的参数项，将所述第一高频字节元素的参数项作为第一位置特征信息；

获取所述第二高频字节元素的参数项，将所述第二高频字节元素的参数项作为第二位置特征信息。

5.根据权利要求4所述的方法，其特征在于，所述根据所述位置特征信息，生成与所述多个数据包的类型相匹配的特征模式集，包括：

对于所述第一位置特征信息，确定所述第一位置特征信息中具有相同参数项的完全相等项集合，每一个完全相等项中至少包括两个参数项；

确定所述完全相等项集合中，每一个完全相等项的支持度；

如果所述完全相等项集合中存在支持度小于预设阈值的完全相等项，则将所述完全相等项在所述完全相等项集合中删除，得到新的完全相等项集合；

至少根据所述新的完全相等项集合，生成所述特征模式集。

6.根据权利要求4所述的方法，其特征在于，所述根据所述位置特征信息，生成与所述多个数据包的类型相匹配的特征模式集，包括：

对于所述第二位置特征信息，确定所述第二位置特征信息中具有相同字符类型标识和相同相对位置偏移的同类相等项集合，每一个同类相等项中至少包括两个参数项；

确定所述同类相等项集合中，每一个同类相等项的支持度；

如果所述同类相等项集合中存在支持度小于预设阈值的同类相等项，则将所述同类相等项在所述同类相等项集合中删除，得到新的同类相等项集合；

至少根据所述新的同类相等项集合，生成所述特征模式集。

7.根据权利要求5或6所述的方法，其特征在于，所述根据所述位置特征信息，生成与所述多个数据包的类型相匹配的特征模式集，包括：

根据所述新的完全相等项集合和所述新的同类相等项集合，生成与所述多个数据包的类型相匹配的特征模式集。

8.一种特征模式集生成装置，其特征在于，所述装置包括：

数据包获取模块，用于从信令数据流中获取待分析的多个数据包，所述多个数据包的类型相同且等长度；

特征分析模块，用于对所述多个数据包进行特征分析，得到所述多个数据包的高频字节串；

特征信息确定模块，用于确定所述高频字节串的位置特征信息；

特征模式集生成模块，用于根据所述位置特征信息，生成与所述多个数据包的类型相匹配的特征模式集。