[发明专利]网络环境下被动式多维度主机指纹模型构建方法及其装置

说明书

本发明涉及一种网络环境下被动式多维度主机指纹模型构建方法及其装置，该方法包含：对网络数据流量进行初步筛选和过滤；通过不同类型插件提取多维度主机特征信息，其中，不同类型插件对应识别特征库中相应的识别特征；基于MAP‑SCORE算法评估每个特征信息对应不同主机的关联度，构建用于主机识别的多维度主机指纹库。本发明方法简单，易操作，有效解决现有技术中由于获取特征不全而导致主机识别率低的问题，能准确高效地发现主机特征信息，为全面了解主机、准确识别主机提供了技术基础，具有实际的应用价值。

技术领域

本发明属于网络安全技术领域，特别涉及一种网络环境下被动式多维度主机指纹模型构建方法及其装置。

背景技术

随着互联网的飞速发展，人们的社会活动越来越倾向于网络化，网络成为了传播、存储和交互各种信息的新平台。根据中国互联网络信息中心(CNNIC)在2016年公布的中国互联网络发展状况统计报告显示，截止2016年6月，我国网民规模达到7.10亿，上半年新增网民2132万人，增长率达到51.7％，与2015年底相比提高1.3个百分点，超过全球平均水平3.1个百分点。互联网的普及给人们的生活带来了极大的方便，也在很大程度上改变了人们的生活方式。然而随之而来的大量安全隐患也开始不断出现。2015年3月，苹果在线商店服务中断长达11个小时，市值蒸发130亿美元；2016年7月，Twitter被黑客攻击，超过3200万Twitter用户的登录信息遭泄露；2016年上半年，一名俄国黑客盗取了2.723亿邮箱信息，其中包括4000万个雅虎邮箱、3300万微软邮箱以及2400万个谷歌邮箱。因此，主机识别成为了当前研究的一个热门问题。

主机识别对于计算机网络犯罪取证、抵御匿名攻击等具有重要意义。网络攻击者和窃密者往往会实施网络伪装以逃避追查，由于数据报报头在网络中传输时的透明性，上网主机可以修改自身的网络标识，因此依赖IP地址、MAC地址等手段已不能确切标识网络主机。传统的方法大多是通过获取主机硬件指纹和主机软件环境指纹对主机进行识别，然而这些方法在工作模式上具有较大的局限性，容易受到网络过滤设备、网络拓扑结构等因素的影响，导致获取特征信息不足，在探测准确度上存在一定的问题。因此，需要对主机多个维度特征进行提取、融合，构建多个维度主机指纹库，全面描述主机，提高主机识别准确率。

发明内容

针对现有技术中的不足，本发明提供一种网络环境下被动式多维度主机指纹模型构建方法及其装置，有效解决特征获取不足导致识别主机准确率降低和误判问题，对主机多个维度特征进行提取融合，构建多维度主机指纹库，全面描述主机，提高主机识别准确率。

按照本发明所提供的设计方案，一种网络环境下被动式多维度主机指纹模型构建方法，包含如下内容：

对网络数据流量进行初步筛选和过滤；

通过不同类型插件提取多维度主机特征信息，其中，不同类型插件对应识别特征库中相应的识别特征；

基于MAP-SCORE算法评估每个特征信息对应不同主机的关联度，构建用于主机识别的多维度主机指纹库。

上述的，对网络数据流量进行初步筛选和过滤：通过五元组策略对网络原始流量进行初步筛选和过滤，去除噪音，缩小数据量。

优选的，在用户态定义插件类型，通过不同类型插件提取多维度主机特征信息，包含如下内容：在用户态定义插件类型，通过识别特征树依次对应用协议进行识别匹配，其中，插件类型至少包含：主机硬件特征解析、主机软件环境特征解析及主机网络行为特征解析，不同类型插件对应相应的主机特征信息的识别特征；识别特征树中：父节点代表解析主机特征信息类型，中间节点代表在对应维度主机特征信息下所包含的应用程序，叶子节点代表解析对应应用协议下主机特征信息所使用的识别特征。

上述的，通过识别特征树依次对应用协议进行识别匹配，包含如下内容：通过插件定义的树形结构从根节点依次对应用数据进行匹配，通过叶子节点的识别特征解析主机特征信息。