[发明专利]数据识别方法、装置及存储介质

说明书

本申请实施例公开了一种数据识别方法、装置及存储介质，该方法包括：获取第一网络设备当前所发送的至少一个第一数据包和与该至少一个第一数据包相关联的第一日志信息；根据该第一日志信息中的该发送信息，从该至少一个第一数据包中筛选满足文件发送条件的第一数据包，作为目标数据包；获取该第一网络设备在历史时间段内所发送的第二数据包，该第二数据包被发送的状态为正常状态；根据该目标数据包的大小与该第二数据包的大小确定该目标数据包与该历史数据包之间的偏移度；根据该偏移度确定该目标数据包被发送的状态。采用本申请实施例，可以提高对数据包被发送的状态识别的准确度和效率。

技术领域

本申请涉及人工智能领域，尤其涉及一种数据识别方法、装置及存储介质。

背景技术

随着计算机技术的快速发展，如何侦测且抵御高级持久性威胁攻击(Advan cedPersistent Threat，APT)成为必不可少的研究方向。数据泄漏是APT攻击的最后一个阶段，当攻击者获取到重要数据之后，会将重要数据汇聚到一台失陷主机上进行传输。

目前需要人工对数据包进行分析，才能识别出数据包被发送的状态(即异常发送状态和正常发送状态)，异常发送状态可以是指数据包被攻击者所发送的，正常发送状态可以是指数据包被具有发送权限的用户所发送。实践中发现，人工对数据包的分析方式的效率以及准确度均比较低。例如，网络设备每天通常发送成千上万个数据包，需要较长时间才能完成对所有数据包的分析，识别数据包被发送的状态的效率比较低；另外，如果对数据包进行分析的用户不具有与数据泄露相关的知识，容易将正常发送状态的数据包误识别为异常发送状态的数据包；或者，将异常发送状态的数据包误识别为正常状态的数据包，导致识别数据包被发送的状态的准确度比较低。

申请内容

本申请实施例提供了一种数据识别方法、装置及存储介质，可以提高对数据包被发送的状态识别的准确度和效率。

本申请实施例一方面提供了一种数据识别方法，该方法包括：

获取第一网络设备当前所发送的至少一个第一数据包和与该至少一个第一数据包相关联的第一日志信息，该第一数据包包括至少一个子数据包，该第一日志信息包括该第一数据包中的子数据包被发送时所生成的发送信息；

根据该第一日志信息中的该发送信息，从该至少一个第一数据包中筛选满足文件发送条件的第一数据包，作为目标数据包；

获取该第一网络设备在历史时间段内所发送的第二数据包，该第二数据包被发送的状态为正常状态；

根据该目标数据包的大小与该第二数据包的大小确定该目标数据包与该历史数据包之间的偏移度；

根据该偏移度确定该目标数据包被发送的状态。

本申请实施例一方面提供了一种数据识别装置，该装置包括：

第一获取模块，用于获取第一网络设备当前所发送的至少一个第一数据包和与该至少一个第一数据包相关联的第一日志信息，该第一数据包包括至少一个子数据包，该第一日志信息包括该第一数据包中的子数据包被发送时所生成的发送信息；

筛选模块，用于根据该第一日志信息中的该发送信息，从该至少一个第一数据包中筛选满足文件发送条件的第一数据包，作为目标数据包；

第二获取模块，用于获取该第一网络设备在历史时间段内所发送的第二数据包，该第二数据包被发送的状态为正常状态；

第一确定模块，用于根据该目标数据包的大小与该第二数据包的大小确定该目标数据包与该历史数据包之间的偏移度；

第二确定模块，用于根据该偏移度确定该目标数据包被发送的状态。

其中，上述装置还包括：