[发明专利]基于流形态特征的应用行为识别方法及系统

说明书

技术领域

本发明涉及一种网络安全技术领域，尤其是涉及一种基于流形态特征的应用行为识别方法及系统。

背景技术

随着互联网的迅速发展，各种新的互联网应用不断涌现，在方便人们生产生活的同时，势必会引入新的，更复杂的安全隐患。因此，对这些互联网应用的深度识别会有助于人们更好的掌控网络的安全，从而对一些非法的、未受控制的应用行为加以控制，避免给工作及生活带来不同程度的影响。

传统的互联网应用行为识别有两种方法，一种是基于端口的应用行为识别，随着各种互联网应用迅猛增长，端口识别的方法应用识别率越来越较低。另一种是通过扫描报文内容进行应用行为识别的方法，此种方法通过扫描报文内容并与预先提取的协议特征库进行比对从而识别应用行为，但是需要对每个数据包进行查看，识别效率较低。

发明内容

本发明的目的在于克服现有技术的缺陷，提供一种基于流形态特征的应用行为识别方法及系统，能够快速识别网络应用行为。

为实现上述目的，本发明提出如下技术方案：一种基于流形态的应用行为识别方法，包括如下步骤：

步骤1，建立流形态特征库；

步骤2，监控网络流量并分析和汇总当前网络数据流的流形态特征信息，形成待分析数据流的流形态特征；

步骤3，将待分析数据流的流形态特征与所述流形态特征库进行匹配，若匹配，则将识别出的应用行为将其产生的数据流信息进行标记。

优选地，所述流形态特征库的建立包括如下步骤:

步骤101，建立若干个流形态特征类别；

步骤102，执行网络应用行为，同时采集网络中数据包中出现频率最高的形态特征；

步骤103，判断采集到的形态特征与网络应用自身的形态特征是否相匹配，若匹配，则将所述形态特征分配至相应的流形态特征类别中，形成流形态特征库。

优选地，所述流形态特征包括传输层协议、服务端口范围、关注数据包的最大个数、请求流形态特征、应答流形态特征。

优选地，步骤3中，流形态特征信息与流形态特征库匹配包括如下步骤:

步骤301，判断待分析数据流是否为TCP流，若是，则直接执行步骤302；否则，进一步判断待分析数据流是否为UDP流，若是，则执行步骤302；

步骤302，判断待分析数据流中服务端口范围匹配是否与流形态特征库中服务端口范围相匹配，若是，则执行步骤303；否则，结束匹配；

步骤303，判断待分析数据流中请求流形态特征值是否与流形态特征库中请求流形态特征值相匹配，若是，则执行步骤304；

步骤304，判断判断待分析数据流中应答流形态特征值是否与流形态特征库中应答流形态特征值相匹配，则对识别出的应用行为产生的数据流进行标记。

优选地，所述步骤304还包括，对识别出的网络应用行为进行记录。

一种基于流形态特征的应用行为识别系统，包括流形态特征库单元、流特征信息扫描单元，以及流特征分类匹配单元；

所述流形态特征库单元用于建立流形态特征库；

所述流特征信息扫描单元用于监控网络流量并分析和汇总当前网络中数据流的流形态特征信息，形成待分析数据流的流形态特征；

所述流特征分类匹配单元将待分析数据流的流形态特征信息与所述流形态特征库进行匹配。

优选地，所述流形态特征库单元包括流形态特征提取单元和流形态特征分类单元，所述流形态特征提取单元用于提取网络应用的数据流形态特征，流形态特征分类单元用于验证提取到的数据流形态特征并将其添加至相应的流形态特征分类中。

优选地，所述流特征分类匹配单元包括传输层协议匹配单元、服务端口匹配单元、请求流形态匹配单元、应答流形态匹配单元，传输层协议匹配单元用于匹配传输层协议是否为TCP或者UDP；服务端口匹配单元用于匹配数据传输端口范围；请求流形态匹配单元用于匹配数据流中请求流形态特征值；应答流形态匹配单元用于匹配数据流中应答流形态特征值。

优选地，所述流特征信息扫描单元包括特征扫描模单元，所述特征扫描单元用于对数据流中的数据包进行分析获得形态特征，并将这些形态特征进行汇总。

优选地，所述系统还包括网络行为识别输出单元，所述网络行为识别输出单元用于记录已经识别出的网络中的所有应用行为。

本发明的有益效果是：

与现有技术相比，本发明在判断网络应用行为时无需对网络报文进行逐一解析，只需比对网络报文的数据流形态特征即可判断出网络应用行为的类型，识别速度快。

附图说明