[发明专利]一种提取特征规则的方法及系统

权利要求书

1.一种提取特征规则的方法，其特征在于，所述方法包括：

获取待分析应用的数据包的数据；

根据所述数据包的数据，确定所述数据包的类型，以及构建所述数据包对应的五元组流表，所述数据包的类型为域名系统DNS、超文本传输协议HTTP或超文本传输安全协议HTTPS；

若所述数据包的类型为DNS，获取所述数据包的域名和IP地址的对应关系；

若根据所述数据包的域名查询到所述待分析应用的应用名，将所述数据包的域名和IP地址的对应关系存储至基于所述五元组流表所构建的地址列表；

生成所述数据包对应的DNS特征规则并将其存储至规则文件中，所述地址列表中存储域名和IP地址的对应关系；

若所述数据包的类型为HTTP，获取所述数据包的IP地址；

若确定所述地址列表中存在所述数据包的IP地址，获取所述数据包的url和host；

若所述数据包的url和/或host中包含所述待分析应用的应用名，基于所述数据包的url和host，生成对应的HTTP特征规则并将其存储至所述规则文件中；

若所述数据包的类型为HTTPS，获取所述数据包的IP地址；

若确定所述地址列表中存在所述数据包的IP地址，获取所述数据包的服务名称；

若所述数据包的服务名称中包含所述应用名，基于所述数据包的服务名称，生成对应的HTTPS特征规则并将其存储至所述规则文件中。

2.根据权利要求1所述的方法，其特征在于，所述获取待分析应用的数据包的数据，包括：

获取待分析应用的数据流；

解析所述待分析应用的数据流，提取所述待分析应用的数据包的数据。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对所述规则文件进行去重处理。

4.一种提取特征规则的系统，其特征在于，所述系统包括：

获取单元，用于获取待分析应用的数据包的数据；

处理单元，用于根据所述数据包的数据，确定所述数据包的类型，以及构建所述数据包对应的五元组流表，所述数据包的类型为域名系统DNS、超文本传输协议HTTP或超文本传输安全协议HTTPS；

第一生成单元，若所述数据包的类型为DNS，利用所述数据包的域名和IP地址，结合基于所述五元组流表所构建的地址列表，生成所述数据包对应的DNS特征规则并将其存储至规则文件中，所述地址列表中存储域名和IP地址的对应关系；

第二生成单元，用于若所述数据包的类型为HTTP，利用所述数据包的IP地址，结合所述地址列表和所述待分析应用的应用名，生成所述数据包对应的HTTP特征规则并将其存储至所述规则文件中；

第三生成单元，用于若所述数据包的类型为HTTPS，利用所述数据包的IP地址，结合所述地址列表和所述应用名，生成所述数据包对应的HTTPS特征规则并将其存储至所述规则文件中；

所述第一生成单元具体用于：获取所述数据包的域名和IP地址的对应关系；若根据所述数据包的域名查询到所述待分析应用的应用名，将所述数据包的域名和IP地址的对应关系存储至基于所述五元组流表所构建的地址列表；生成所述数据包对应的DNS特征规则并将其存储至规则文件中；

所述第二生成单元具体用于：获取所述数据包的IP地址；若确定所述地址列表中存在所述数据包的IP地址，获取所述数据包的url和host；若所述数据包的url和/或host中包含所述待分析应用的应用名，基于所述数据包的url和host，生成对应的HTTP特征规则并将其存储至所述规则文件中；

所述第三生成单元具体用于：获取所述数据包的IP地址；若确定所述地址列表中存在所述数据包的IP地址，获取所述数据包的服务名称；若所述数据包的服务名称中包含所述应用名，基于所述数据包的服务名称，生成对应的HTTPS特征规则并将其存储至所述规则文件中。