[发明专利]应用识别方法、数据挖掘方法、装置及系统

权利要求书

1.一种用户行为分析UBA数据挖掘方法，其特征在于，包括：

获得待处理数据，所述待处理数据包括多条记录，其中每条记录包括：成对应关系的应用信息、远端三元组信息；其中，所述远端三元组信息包括传输协议、服务器端IP地址和服务器端端口；

对所述待处理数据中远端三元组信息及应用信息相同的记录进行聚类处理，并根据所述待处理数据中远端三元组信息及应用信息相同的记录计算对应于所述远端三元组信息及应用信息的服务负载量，得到包含成对应关系的远端三元组信息、应用信息及服务负载量的聚类结果；

根据所述服务负载量的大小或比重从所述聚类结果中选取可信度高的成对应关系的远端三元组与应用信息；

向深度包检测DPI子系统发送所述可信度高的成对应关系的远端三元组与应用信息。

2.如权利要求1所述的方法，其特征在于，所述获得待处理数据包括：

针对每一种应用，根据所述应用对应的域名信息爬取与所述域名信息对应的IP地址信息，得到包含成对应关系的应用信息、域名信息和IP地址信息的爬取结果；

获得所述DPI子系统输出的第一协议识别结果，所述第一协议识别结果包括远端三元组信息；

根据所述爬取结果和所述第一协议识别结果，以所述爬取结果和第一协议识别结果中相同的IP地址作为关联条件，关联生成所述待处理数据，所述待处理数据包括多条记录，其中每条记录包括：成对应关系的应用信息和远端三元组信息。

3.如权利要求1所述的方法，其特征在于，所述获得待处理数据包括：

获得所述DPI子系统输出的第一协议识别结果和爬取子系统输出的爬取结果，所述第一协议识别结果包括远端三元组信息，所述爬取结果包含成对应关系的应用信息、域名信息和IP地址信息；

根据所述爬取结果和所述第一协议识别结果，以所述爬取结果和第一协议识别结果中相同的IP地址作为关联条件，关联生成所述待处理数据，所述待处理数据包括多条记录，其中每条记录包括：成对应关系的应用信息和远端三元组信息。

4.如权利要求1或2或3所述的方法，其特征在于，

所述对所述待处理数据中远端三元组信息及应用信息相同的记录进行聚类处理，并根据所述待处理数据中远端三元组信息及应用信息相同的记录计算对应于所述远端三元组信息及应用信息的服务负载量，得到包含成对应关系的远端三元组信息、应用信息及服务负载量的聚类结果，包括：

对所述待处理数据中远端三元组信息及应用信息相同的记录进行聚类处理，累加所述待处理数据中的远端三元组信息及应用信息相同的记录的个数作为对应于所述远端三元组信息及应用信息的连接数，得到包含成对应关系的远端三元组信息、应用信息及连接数的聚类结果；

所述根据所述服务负载量的大小或比重从所述聚类结果中选取可信度高的成对应关系的远端三元组与应用信息，包括：

根据所述连接数的大小与第一连接数阈值的比较结果，从所述聚类结果中选取成对应关系的远端三元组与应用信息，其中对应于所述选取的远端三元组与应用信息的连接数的大小大于或等于第一连接数阈值；

或，根据所述连接数占所有连接数的比重与第二连接数占有比例阈值的比较结果，从所述聚类结果中选取成对应关系的远端三元组与应用信息，其中对应于所述远端三元组与应用信息的连接数占所有连接数的比重大于或等于第二连接数占有比例阈值。