[发明专利]一种网络流量判定方法和系统

说明书

本申请实施例公开了一种网络流量判定方法和系统。所述网络流量判定方法包括：获取第一流量；根据流量分类模型，判定所述第一流量的第一初步类型；根据特征提取规则在第一流量的预设位置获取所述第一流量的特征数据；基于所述第一流量的特征数据，根据特征判定规则判定所述第一流量的特征类型；基于所述第一初步类型和所述特征类型，判定所述第一流量的流量类型。

技术领域

本申请涉及网络安全领域，特别涉及一种网络流量判定方法和系统。

背景技术

随着网络技术的飞速发展，在互联网及相关应用中，数据安全问题越来越被大家所关注。准确有效地判定加密流量对于网络犯罪行为分析、舆情分析、国家信息安全等具有重要意义。伴随着互联网上加密流量的种类越来越多，规模越来越大，给流量判定带来了新的挑战。

因此，如何更好地判定各种类型的加密流量，并检测出其中的异常流量成为亟需解决的问题。

发明内容

本申请实施例之一提供一种网络流量判定方法，包括：获取第一流量；根据流量分类模型，判定所述第一流量的第一初步类型；根据特征提取规则在所述第一流量的预设位置获取所述第一流量的特征数据；基于所述第一流量的特征数据，根据特征判定规则判定所述第一流量的特征类型；基于所述第一初步类型和所述特征类型，判定所述第一流量的流量类型。

在一些实施例中，至少一种流量类型包含两种以上不同的网络协议，所述两种以上不同的网络协议中至少有一种所述网络协议需加密传输。

在一些实施例中，所述网络流量判定方法还包括：根据业务模式判定模型，判定所述第一流量对应的业务模式；基于所述业务模式调取与所述业务模式相应的所述流量分类模型。

在一些实施例中，所述网络流量判定方法还包括：基于所述第一流量的流量类型，对所述第一流量采取相应的策略。

在一些实施例中，所述网络流量判定方法还包括：获取多条待测定流量，其中，所述待测定流量包括无法判定所述第一初步类型的所述第一流量；基于聚类模型，判定所述多条待测定流量是否为已知流量类型。

在一些实施例中，所述基于聚类模型，判定所述多条待测定流量是否为已知流量类型包括：利用无监督聚类模型对所述多条待测定流量进行聚类，以获得至少一个待定流量组；根据所述特征提取规则和所述特征判定规则判定所述待定流量组是否为已知流量类型。

在一些实施例中，所述根据所述特征提取规则和所述特征判定规则判定所述待定流量组是否为已知流量类型包括：当根据所述特征提取规则和所述特征判定规则判定所述待定流量组中的所有流量均属于第一已知流量类型时，判定所述待定流量组为已判定流量；当根据所述特征提取规则和所述特征判定规则判定所述待定流量组中至少两条流量属于不同的流量类型时，判定所述待定流量组为未知流量。

在一些实施例中，所述基于聚类模型，判定所述多条待测定流量是否为已知流量类型包括：获取多种流量类型；基于所述多种流量类型，利用有监督聚类模型判定所述多条待测定流量是否属于所述多种流量类型；将所述多条待测定流量中不属于任意一种流量类型的流量判定为未知流量。

在一些实施例中，所述网络流量判定方法还包括：获取对未知流量的特征提取结果和流量分类结果，所述未知流量为被判定不是已知流量类型的待测定流量；根据所述未知流量的特征提取结果和流量分类结果，更新所述流量分类模型、所述特征提取规则和所述特征判定规则。

在一些实施例中，所述网络流量判定方法还包括：获取流量类型相同的多条流量；对所述多条流量进行聚类，并基于聚类后流量之间的相似度获取所述多条流量中的至少部分流量；提取所述至少部分流量的特征数据；基于所述至少部分流量的所述特征数据，更新所述特征提取规则和/或所述特征判定规则。