[发明专利]一种网络攻击识别方法、装置及设备

权利要求书

1.一种网络攻击识别方法，其特征在于，所述方法包括：

采集异常网络中的网络数据包，提取所述网络数据包的网络特征；

根据提取出的网络特征，从所述网络数据包中确定出反射数据包；

将所述反射数据包的网络特征与属性关系表中的特征进行匹配，得到所述反射数据包的属性特征；

由所述反射数据包的网络特征和属性特征，得出所述反射数据包的网络攻击类型。

2.根据权利要求1所述的网络攻击识别方法，其特征在于，所述提取所述网络数据包的网络特征，包括：

从所述网络数据包的包头部分提取出第一特征集合；所述第一特征集合包括源IP地址、源端口号、目的IP地址、目的端口号和协议类型；

从所述网络数据包的数据部分提取出第二特征集合；所述第二特征集合包括特征偏移、特征长度和特征明细。

3.根据权利要求2所述的网络攻击识别方法，其特征在于，所述从所述网络数据包的数据部分提取出第二特征集合，包括：

设定所述网络数据包中的可识别字符串和非可识别字符串；

对所述网络数据包的数据部分进行划分，得到特征序列；

根据所述数据部分的划分结果，获取对应特征序列的特征偏移和特征长度；

分析所述特征序列，根据所述可识别字符串或非可识别字符串得到对应的特征明细。

4.根据权利要求3所述的网络攻击识别方法，其特征在于，所述对所述网络数据包的数据部分进行划分，包括：

从所述数据部分的第一个字符开始识别；

在识别出多个连续的可识别字符串时，将多个连续的可识别字符串作为一个特征序列；

在识别出多个非连续的可识别字符串时，将多个连续的非可识别字符串作为一个特征序列。

5.根据权利要求2所述的网络攻击识别方法，其特征在于，所述将所述反射数据包的网络特征与属性关系表中的特征进行匹配，得到所述反射数据包的属性特征，包括：

将所述反射数据包的源IP地址与所述属性关系表中的IP地址进行匹配；所述属性关系表包括由IP地址、使用所述IP地址的设备信息以及所述IP地址所在的地域信息组成的关系对照表；

在匹配成功时，从所述属性关系表中得到所述反射数据包的源IP地址对应的设备信息和地域信息；

根据所述源IP地址对应的设备信息，确定出产生所述反射数据包的应用程序；

由所述源IP地址对应的设备信息、地域信息和应用程序，得到所述反射数据包的属性特征。

6.根据权利要求1所述的网络攻击识别方法，其特征在于，所述根据提取出的网络特征，从所述所述网络数据包中确定出反射数据包，包括：

统计具有相同网络特征的网络数据包的数量；

计算所述网络数据包在所有网络数据包中占据的比例；

在统计得到的网络数据包的比例大于预设比例时，则所述网络数据包为反射数据包。

7.根据权利要求1所述的网络攻击识别方法，其特征在于，所述方法还包括：

根据所述反射数据包的网络特征和属性特征，得到用于应对网络攻击的对抗策略。

8.一种网络攻击识别装置，其特征在于，所述装置包括：

网络特征提取模块，用于采集异常网络中的网络数据包，提取所述网络数据包的网络特征；

反射数据包确定模块，用于根据提取出的网络特征，从所述网络数据包中确定出反射数据包；

属性特征得到模块，用于将所述反射数据包的网络特征与属性关系表中的特征进行匹配，得到所述反射数据包对应的属性特征；

网络攻击类型得到模块，用于由所述反射数据包的网络特征和属性特征，得出所述反射数据包的网络攻击类型。