[发明专利]网络流量特征识别规则的建立方法、识别控制方法及装置

权利要求书

1.一种网络流量特征识别规则的建立方法，其特征在于，包括：

分析中心服务器接收网络流量样本；

获取所述网络流量样本的载荷数据，从所述载荷数据中提取流量特征，其中，所述流量特征包括：标识特征、基本特征、行为特征、安全特征和内容特征中的至少一个；

当所述流量特征包含的特征参量达到相应阈值时，确定该网络流量属于所述相应阈值对应的类别，将所述流量特征与类别对应存储，以生成特征识别规则；

将所述特征识别规则下发给网络流量设备。

2.根据权利要求1所述的方法，其特征在于，所述获取所述网络流量样本的载荷数据，从所述载荷数据中提取流量特征，包括：

从所述网络流量样本包含的传输控制协议TCP/IP的协议栈指纹，或者超文本传输协议HTTP或文件传输协议FTP的服务器端与客户端软件版本字段，或者报文数据包含的关键字段中，提取终端与服务器应用环境属性，所述终端与服务器应用环境属性包括终端与服务器采用的软件的类型与版本；

将所述网络流量样本包含的报文数据与预先建立的应用报文数据库进行比较，以从所述应用报文数据库保存的报文数据与标识特征的对应关系中，提取标识特征；

从所述网络流量样本中提取基本特征、行为特征、安全特征和内容特征。

3.根据权利要求1所述的方法，其特征在于，所述将所述特征识别规则下发给所述网络流量设备包括：

将所述特征识别规则存储在分析中心服务器的应用知识库中；

在收到所述网络流量设备发送的更新请求时，将所述应用知识库中的特征识别规则下发给所述网络流量设备。

4.一种网络流量识别控制方法，其特征在于，包括：

采集网络流量样本；

根据预设的特征提取方式提取采集到的网络流量样本的流量特征；

根据特征识别规则对采集到的网络流量样本的流量特征进行识别，获得所述网络流量样本的类别，所述特征识别规则从分析中心服务器获得；

根据所述类别获取预设的控制策略，并根据所述控制策略对所述网络流量进行相应操作；

当根据特征识别规则不能对采集到的网络流量样本的流量特征进行识别时，将所述网络流量样本上传给分析中心服务器。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括获取特征识别规则的步骤，具体为：

向分析中心服务器发送更新请求；

接收所述分析中心服务器下发的特征识别规则。

6.根据权利要求4所述的方法，其特征在于，所述根据预设的特征提取方式提取采集到的网络流量样本的流量特征包括：

提取所述网络流量样本的源IP地址、目的IP地址、源端口、目的端口、IP层协议类型；

根据所述源IP地址与目的IP地址，结合已知的第三方数据库提取用户属性，所述第三方数据库中保存有用户属性与IP地址的对应关系，所述用户属性包括用户名、手机号、用户ID、组织机构属性、地理区域属性中的至少一个；

从所述网络流量样本包含的传输控制协议TCP/IP的协议栈指纹，或者超文本传输协议HTTP或文件传输协议FTP的服务器端与客户端软件版本字段，或者报文数据包含的关键字段中，提取终端与服务器应用环境属性，所述终端与服务器应用环境属性包括终端与服务器采用的软件的类型与版本；

将所述网络流量样本包含的报文数据与预先建立的应用报文数据库进行比较，以从所述应用报文数据库保存的的报文数据与标识特征的对应关系中，提取标识特征；

从所述未知网络流量样本的报文数据中提取基本特征、行为特征、安全特征和内容特征。

7.根据权利要求4所述的方法，其特征在于，所述采集网络流量样本包括：

建立网络流量的流表和/或会话表，利用所述流表和/或会话表采集网络流量样本。

8.一种分析中心服务器，其特征在于，包括：

样本库单元，用于接收网络流量样本；

分析引擎单元，用于获取所述网络流量样本的载荷数据，从所述载荷数据中提取流量特征，其中，所述流量特征包括：标识特征、基本特征、行为特征、安全特征和内容特征中的至少一个；

应用知识库单元，用于当所述流量特征包含的各个特征参量达到相应阈值时，确定该网络流量属于所述相应阀值对应的类别，将所述流量特征与类别对应存储，以生成特征识别规则，将所述特征识别规则下发给网络流量设备。

9.一种网络流量设备，其特征在于，包括：分析单元，分别与所述分析单元连接的采样单元、控制单元和知识库管理单元，以及与所述控制单元连接的策略单元；

所述知识库管理单元，用于从分析中心服务器获取网络流量的特征识别规则；

所述采样单元，用于采集网络流量样本，当根据特征识别规则不能对采集到的网络流量样本的流量特征进行识别时，将所述网络流量样本上传给分析中心服务器；

所述分析单元，用于根据预设的特征提取方式提取采集到的网络流量样本的流量特征，并根据特征识别规则对采集到的网络流量样本进行识别，获得所述网络流量样本的类别；

所述控制单元，用于根据所述类别从所述策略单元中获取预设的控制策略，并根据所述控制策略对所述网络流量进行相应操作。