[发明专利]一种C＆C信道判别方法及系统

权利要求书

1.一种CC信道判别方法，其特征在于，包括：

获取待识别流量；

基于行为刻画对所述待识别流量进行分类，得到具有预设种类个数和预设行为特征个数的若干个原始特征；

对所述若干个原始特征进行特征选择，得到待判断行为特征；

基于预设机器学习算法识别所述待判断行为特征，得到时间槽信道类型推断结果；

根据预设CC信道特征对所述时间槽信道类型推断结果进行综合判定，得到CC信道架构类型判定结果；

所述基于行为刻画对所述待识别流量进行分类，得到具有预设种类个数和预设行为特征个数的若干个原始特征，具体包括：

按照预设时间窗口将所述待识别流量划分为若干个等长的时间槽；

在每个时间槽内采用预设五元组向量信息描述划分后的待识别流量，得到第一网络流集合，提取满足预设条件的第一网络流集合中的特征向量，构成第二网络流集合；

采用所述行为刻画对所述第二网络流集合进行分类，得到所述若干个原始特征；

所述采用所述行为刻画对所述第二网络流集合进行分类，得到所述若干个原始特征，具体包括：

确定NODNS通信率类别，设定获取一个网络流集合中的独立dstip属性数目函数，基于所述独立dstip属性数目函数计算所述第二网络流集合与所述第一网络流集合的比值，得到第一特征；

确定NODNS IP地址分散度类别，设定获取一个网络流集合中的dstip属性集合对应不同IP地址前缀数函数，基于所述dstip属性集合对应不同IP地址前缀数函数计算所述第二网络流集合与基于所述独立dstip属性数目函数计算所述第一网络流集合的比值，得到第二特征；

确定NODNS端口分散度类别，提取所述第二网络流集合中的TCP流，根据所述TCP流在对应的三个预设srcport属性区间中分别占全部scport属性值的比例以及所述TCP流在对应的三个预设dstport属性区间中分别占全部dstport属性值的比例，得到第三特征至第八特征，提取所述第二网络流集合中的UDP流，根据所述UDP流在对应的三个预设srcport属性区间中分别占全部scport属性值的比例以及所述UDP流在对应的三个预设dstport属性区间中分别占全部dstport属性值的比例，得到第九特征至第十四特征；

确定NODNS尺度分散度类别，提取所述第二网络流集合中的TCP流和UDP流，分别计算所述TCP和所述UDP流在五个预设流尺寸区间内所占比例，得到第十五特征至第二十四特征；

确定NODNS通信相似度类别，提取所述第二网络流集合中所有具备相同protocol属性和srcport属性的相似网络流，获取所述相似网络流全部的不同dstip属性，针对所述相似网络流中具有超过一个的所述不同dstip属性的个数，计算所述不同dstip属性的个数与基于所述dstip属性集合对应不同IP地址前缀数函数计算所述第二网络流集合的比值，得到第二十五特征。

2.根据权利要求1所述的CC信道判别方法，其特征在于，所述获取待识别流量，具体包括：

从主机和服务器之间传输的数据中提取具有双向传送命令和数据的流量；

从所述流量中筛选出无需在通信前事先通过DNS请求及回复操作来获取服务器地址的流量作为所述待识别流量。

3.根据权利要求1所述的CC信道判别方法，其特征在于，所述对所述若干个原始特征进行特征选择，得到待判断行为特征，具体包括：

获取所述若干个原始特征的联合概率密度函数，以及每个原始特征的边缘概率函数；

基于所述联合概率密度函数和任意两个原始特征的边缘概率函数，计算得到互信息；

由所述互信息得到各原始特征的重要性度量值，基于所述重要性度量值和预设配置参数个数，在所述原始特征中获得具有所述预设配置参数个数的所述待判断行为特征。

4.根据权利要求1所述的CC信道判别方法，其特征在于，所述基于预设机器学习算法识别所述待判断行为特征，得到时间槽信道类型推断结果，具体包括：

获取包括预设数量的训练样本数和预设基础分类器的随机森林分类器；

将所述待判断行为特征输入所述随机森林分类器，得到所述时间槽信道类型推断结果。