[发明专利]基于流形态特征的应用行为识别方法及系统

权利要求书

1.一种基于流形态特征的应用行为识别方法，其特征在于，包括如下步骤：

步骤1，建立流形态特征库；

步骤2，监控网络流量并分析和汇总当前网络数据流的流形态特征信息，形成待分析数据流的流形态特征；

步骤3，将待分析数据流的流形态特征与所述流形态特征库进行匹配，若匹配，则将识别出的应用行为产生的数据流进行标记。

2.根据权利要求1所述的基于流形态特征的应用行为识别方法，其特征在于，步骤1中，所述流形态特征库的建立包括如下步骤:

步骤101，建立若干个流形态特征类别；

步骤102，执行网络应用行为，同时采集网络数据包中出现频率最高的形态特征；

步骤103，判断采集到的形态特征与网络应用自身的形态特征是否相匹配，若匹配，则将所述形态特征分配至相应的流形态特征类别中，形成流形态特征库。

3.根据权利要求1所述的基于流形态特征的应用行为识别方法，其特征在于，所述流形态特征包括传输层协议、服务端口范围、关注数据包的最大个数、请求流形态特征、应答流形态特征。

4.根据权利要求1所述的基于流形态特征的应用行为识别方法，其特征在于，步骤3中，流形态特征信息与流形态特征库匹配包括如下步骤:

步骤301，判断待分析数据流是否为TCP流，若是，则直接执行步骤302；否则，进一步判断待分析数据流是否为UDP流，若是，则执行步骤302；

步骤302，判断待分析数据流中服务端口范围匹配是否与流形态特征库中服务端口范围相匹配，若匹配，则执行步骤303；

步骤303，判断待分析数据流中请求流形态特征值是否与流形态特征库中请求流形态特征值相匹配，若匹配，则执行步骤304；

步骤304，判断待分析数据流中应答流形态特征值是否与流形态特征库中应答流形态特征值相匹配，若匹配，则将识别出的应用行为产生的数据流进行标记。

5.根据权利要求4所述的基于流形态特征的应用行为识别方法，其特征在于，所述步骤304还包括对识别出的网络应用行为进行记录。

6.一种基于流形态特征的应用行为识别系统，其特征在于，包括流形态特征库单元、流特征信息扫描单元，以及流特征分类匹配单元；

所述流形态特征库单元用于建立流形态特征库；

所述流特征信息扫描单元用于监控网络流量并分析和汇总当前网络中数据流的流形态特征信息，形成待分析数据流的流形态特征信息；

所述流特征分类匹配单元将待分析数据流的流形态特征信息与所述流形态特征库进行匹配。

7.根据权利要求6所述的基于流形态特征的应用行为识别系统，其特征在于，所述流形态特征库单元包括流形态特征提取单元和流形态特征分类单元，所述流形态特征提取单元用于提取网络应用的数据流形态特征，流形态特征分类单元用于验证提取到的数据流形态特征并将其添加至相应的流形态特征分类中。

8.根据权利要求6所述的基于流形态特征的应用行为识别系统，其特征在于，所述流特征分类匹配单元包括传输层协议匹配单元、服务端口匹配单元、请求流形态匹配单元、应答流形态匹配单元，传输层协议匹配单元用于匹配传输层协议是否为TCP或者UDP；服务端口匹配单元用于匹配数据传输端口范围；请求流形态匹配单元用于匹配数据流中请求流形态特征值；应答流形态匹配单元用于匹配数据流中应答流形态特征值。

9.根据权利要求6所述的基于流形态特征的应用行为识别系统，其特征在于，所述流特征信息扫描单元包括特征扫描模单元，所述特征扫描单元用于对数据流中的数据包进行分析获得形态特征，并将这些形态特征进行汇总。

10.根据权利要求6所述的基于流形态特征的应用行为识别系统，其特征在于，所述系统还包括网络行为识别输出单元，所述网络行为识别输出单元用于记录已经识别出的网络中的所有应用行为。