[发明专利]一种基于探针的自动流量特征收集方法及系统

说明书

本发明提出了一种基于探针的自动流量特征收集方法及系统，通过在终端部署探针进行用户、进程行为识别，并在网络侧部署探针进行流量捕获，并在终端行为与网络流量间建立关联，以此来进行流量特征自动提取与收集，并通过大数据分析得到终端侧操作与网络侧数据的联动关系，以及动态判断历史网络流量特征的有效性。本发明可实现基于终端、网络探针联合的自动化网络流量特征收集；可实现动态收集和维护特征库数据，并能充分保证特征的完整性和准确性。

技术领域

本发明涉及网络流量识别技术领域，尤其涉及一种基于探针的自动流量特征收集方法及系统。

背景技术

在下一代防火墙等流量深度识别设备得到广泛应用的今天，对流量进行深度识别具有广泛的需求。目前对流量的特征提取主要集中于人工对捕获到的流量样本及产生流量的程序进行深度分析，由于人工介入的效率较为低下、成本较高，使得网络流量特征的获取不能充分保证其时效性及准确性。

发明内容

针对上述现有技术中存在的缺陷，本发明提出了一种基于探针的自动流量特征收集方法及系统，通过在终端部署探针进行用户、进程行为识别，并在网络侧部署探针进行流量捕获，并在终端行为与网络流量间建立关联，以此来进行流量特征自动提取与收集，并通过大数据分析得到终端侧操作与网络侧数据的联动关系，以及动态判断历史网络流量特征的有效性。

具体发明内容包括：

一种基于探针的自动流量特征收集方法，包括：

分别在终端侧和网络侧部署探针；

终端侧探针监视终端系统中API的调用，当发现指定的API调用动作时进行对应的栈追溯，获取对应的调用进程和调用模块信息，并按规定生成指定数据标记，并将指定数据标记发送给网络侧探针；所述指定的API调用动作包括：连接请求、发送数据、结束连接；

终端侧探针监视用户操作，当发现指定的用户操作时，获取与相应操作相关的数据，并将相关的数据保存到进程操作记录中；

终端侧探针监视系统进程操作，获取进程操作信息，并将进程操作信息保存到进程操作记录中；

网络侧探针根据接收到的指定数据标记进行数据流的获取；

将上述终端侧探针获取的信息、相应的指定数据标记、进程操作记录，以及网络侧探针获取的数据流，发送给服务器进行联合分析，生成网络流量特征。

进一步地，所述按规定生成指定数据标记，并将指定数据标记发送给网络侧探针，具体为：当终端侧探针发现连接请求的API调用动作时，获取调用动作的目标五元组信息，并根据具体API及调用动作生成流唯一标记，将目标五元组信息和流唯一标记发送给网络侧探针，使网络侧探针做好对目标流进行获取的准备；当终端侧探针发现发送数据的API调用动作时，根据具体API及调用动作生成数据隔唯一标记，将数据隔唯一标记发送给网络侧探针，使网络侧探针明确需要获取的具体数据流，并进行获取；当终端侧探针发现结束连接的API调用动作时，根据具体API，将相应的流唯一标记再次发送给网络侧探针，使网络侧探针结束相应数据流的获取。

进一步地，所述当发现指定的用户操作时，获取与相应操作相关的数据，具体为：当终端侧探针发现指定的用户操作时，获取其目标进程及窗体信息；其中，所述指定的用户操作包括：点击、键盘输入，所述窗体信息包括：窗体名称、窗体属性、窗体是否有输入框、窗体输入框属性、输入框内容、用户输入内容、窗体内容文本数据。

进一步地，所述网络侧探针根据接收到的指定数据标记进行数据流的获取，还包括：对于获取到的数据流，使用相应的流唯一标记作为相应数据流的流标记，使用相应的数据隔唯一标记作为相应数据流的数据包标记，并对获取到的数据流进行协议识别和解析。