[发明专利]网络失窃密行为的异常检测方法及系统

权利要求书

1.一种网络失窃密行为的异常检测方法，包括：

步骤1)、接收网络数据包，并对所得到的网络数据包做协议还原；

步骤2)、将所述网络数据包与关注目标做相关性判断，抛弃不具有相关性的网络数据包，对具有相关性的网络数据包执行下一步；

步骤3)、判定与所述关注目标相关的网络数据包所属的连接；其中，所述连接包括TCP连接或UDP连接；

步骤4)、对与所述关注目标相关的所有连接上的检测特征向量进行统计；其中，

所述检测特征向量包括用于表示当前连接最近一次发生访问的时间至检测时的时间间隔的最近访问间隔特征last_interval、用于表示检测时间间隔内当前连接的平均流量的流量特征traffic、用于表示当前连接最近若干次发生访问的时间间隔所呈现出的周期性的行为周期性特征period、用于表示在检测时间间隔内与当前连接具有相同sip且相继发生访问的连接的个数的同sip连接相继访问特征sip_count、用于表示在检测时间间隔内与当前连接具有相同dip的连接的个数的同dip的连接特征dip_count，其中，所述sip表示连接发起方的IP地址，所述dip表示连接接收方的IP地址；

步骤5)、根据统计结果，计算与所述关注目标相关的连接所对应的检测特征向量中各个检测特征的值；

步骤6)、根据所述检测特征的值判断对应连接是否存在异常。

2.根据权利要求1所述的网络失窃密行为的异常检测方法，其特征在于，在所述的步骤1)之前还包括学习阶段，所述学习阶段包括步骤1)-步骤4)，以得到与所述关注目标相关的所有连接上的检测特征向量的大量统计结果。

3.根据权利要求1或2所述的网络失窃密行为的异常检测方法，其特征在于，在所述的步骤2)中，所述的相关性判断包括：

将所述网络数据包的源IP地址或目的IP地址与所述关注目标的IP地址进行匹配，若所述源IP地址、目的IP地址两者之一与所述关注目标的IP地址相匹配，则所述网络数据包与所述关注目标存在相关性，否则，不存在相关性。

4.根据权利要求1或2所述的网络失窃密行为的异常检测方法，其特征在于，所述的步骤3)包括：

步骤3-1)、当与所述关注目标相关的网络数据包为TCP同步包时，若该网络数据包不属于一个已有连接，则为该网络数据包建立一个新的TCP连接，若该网络数据包属于一个已有连接，则开始对该已有连接的新访问；

步骤3-2)、当与所述关注目标相关的网络数据包为TCP非同步包时，若该网络数据包不属于一个已有连接，则丢弃该网络数据包，若该网络数据包属于一个已有连接，则保留该网络数据包；

步骤3-3)、当与所述关注目标相关的网络数据包为UDP包时，若该网络数据包不属于一个已有连接，则为其建立一个新的UDP连接，若该网络数据包属于一个已有连接，则当该已有连接满足UDP连接的划分规则时，开始一个当前已有连接的新访问，然后做后续的统计处理；当该已有连接不满足UDP连接的划分规则时，直接做后续的统计处理。

5.根据权利要求4所述的网络失窃密行为的异常检测方法，其特征在于，所述的UDP连接的划分规则包括：

(1)、针对目的端口为53的UDP包，每个UDP包为一个UDP连接；

(2)、针对所有其他UDP包，设置UDP连接计时器和划分阈值，连接建立或每次访问开始时，将计时器置0，在处理每个UDP包时，判断计时器是否超过预先设定的划分阈值，如果超过，则进行连接划分，开始一个当前连接的新访问，并将其计时器重置为0，如果不超过则无需划分。