[发明专利]恶意设备识别方法、装置、存储介质和计算机设备

权利要求书

1.一种恶意设备识别方法，其特征在于，所述方法包括：

在监控时段内接收到的每个数据报文中提取时间戳字段；

根据各数据报文中目标的数据报文的接收时间，与另一个具有相同源IP地址和源端口的数据报文的接收时间的第一时差、所述目标的数据报文的时间戳与所述另一个具有相同源IP地址和源端口的数据报文的时间戳的第二时差、所述目标的数据报文的接收时间以及所述目标的数据报文的时间戳，确定所述目标的数据报文所来自设备的启动时间；

按照所述启动时间，确定来自各设备的数据报文的数量；其中，启动时间满足时间匹配条件的不同数据报文来自于相同的设备；

当所确定数据报文的数量达到恶意设备判定条件时，将相应数据报文所来自设备标记为恶意设备。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

确定每个所述数据报文的接收时间以及对应的源IP地址和源端口；

根据具有相同源IP地址和源端口的不同数据报文的接收时间和时间戳，确定各数据报文所来自设备的启动时间。

3.根据权利要求2所述的方法，其特征在于，所述数据报文包括设备基于传输控制协议请求握手连接时发送的握手报文，所述握手报文包括SYN报文和ACK报文；所述根据具有相同源IP地址和源端口的不同数据报文的接收时间和时间戳，确定各数据报文所来自设备的启动时间包括：

计算所述SYN报文的接收时间与所述ACK报文的接收时间的握手报文第一时差；

计算所述SYN报文的时间戳与所述ACK报文的时间戳的握手报文第二时差；

根据所述握手报文第一时差与所述握手报文第二时差的比值，确定所述握手报文所来自设备的握手报文时钟周期；

基于所述握手报文时钟周期以及所述SYN报文的时间戳，计算所述SYN报文所来自设备的运行时长；

根据所述运行时长和所述SYN报文的接收时间，确定所述SYN报文所来自设备的启动时间。

4.根据权利要求1所述的方法，其特征在于，所述确定所述目标的数据报文所来自设备的启动时间包括：

根据所述第一时差与所述第二时差的比值，确定所述目标的数据报文的时钟周期；

基于所述时钟周期以及所述目标的数据报文的时间戳，计算所述目标的数据报文所来自设备的运行时长；

根据所述运行时长和所述目标的数据报文的接收时间，确定所述目标的数据报文所来自设备的启动时间。

5.根据权利要求1所述的方法，其特征在于，所述按照所述启动时间，确定来自各设备的数据报文的数量包括：

根据所述启动时间生成相应设备的设备标识；

确定每个设备标识对应设备在所述监控时段发出的数据报文的数量。

6.根据权利要求5所述的方法，其特征在于，所述根据所述启动时间生成相应设备的设备标识包括：

在所述数据报文中提取流量特征字段；

将所述流量特征字段与所述数据报文对应设备的启动时间进行拼接；

将拼接得到的字符串确定为所述设备的设备标识。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

获取多个历史报文；

在所述历史报文中提取通用的字段名；

将所述通用的字段名确定为流量特征字段名；

所述在所述数据报文中提取流量特征字段包括：

在所述数据报文中提取每个流量特征字段名对应的流量特征字段值。

8.根据权利要求1所述的方法，其特征在于，所述当所确定数据报文的数量达到恶意设备判定条件时，将相应数据报文所来自设备标记为恶意设备包括：

在所述数据报文中提取请求类型字段；

对启动时间满足时间匹配条件的各数据报文所记录的请求类型进行分类；

当所述数据报文的数量或者所述请求类型的类别数目达到恶意设备判定条件时，将相应数据报文所来自设备标记为恶意设备。