[发明专利]隐蔽通道检测方法及装置

权利要求书

1.一种隐蔽通道检测方法，其特征在于，包括：

获取ICMP数据包；

从所述ICMP数据包中提取多个IP流对；

获取所述多个IP流对中ICMP报文的统计特征，包括：分别获取每个IP流对中ICMP报文的统计特征；具体包括：

统计每个IP流对中，ICMP请求报文和ICMP应答报文分别所占ICMP报文流量的百分比，得到第一类型统计特征；

统计每个IP流对中，ICMP请求报文和ICMP应答报文的有效负载长度的统计特征，得到第二类统计特征；

统计每个IP流对中，ICMP请求报文和ICMP应答报文的有效负载的编辑距离的统计特征，得到第三类统计特征；具体包括：

统计每个IP流对中，相邻ICMP请求报文的有效负载的编辑距离的百分位数和/或平均值；具体包括：步骤一、计算每个ICMP会话中，相邻ICMP请求报文有效负载的编辑距离；

步骤二、统计所有ICMP会话中，所述编辑距离的百分位数和/或平均值；

统计每个IP流对中，相邻ICMP应答报文的有效负载的编辑距离的百分位数和/或平均值；具体包括：步骤一、计算每个ICMP会话中，相邻ICMP应答报文有效负载的编辑距离；

步骤二、统计所有ICMP会话中，所述编辑距离的百分位数和/或平均值；

统计每个IP流对中，ICMP请求报文和与之对应的ICMP应答报文的有效负载的编辑距离的百分位数和/或平均值；具体包括：步骤一、对每个IP流对中ICMP请求报文和与之对应的ICMP响应报文进行配对，得到若干个ICMP流对；步骤二、计算每个ICMP流对中ICMP请求报文和ICMP响应报文的有效负载的编辑距离，作为ICMP流对的编辑距离；步骤三、统计每个IP流对中，所有ICMP流对编辑距离的百分位数和/或平均值；

将所述统计特征输入检测模型检测是否存在ICMP隐蔽通道。

2.根据权利要求1所述的隐蔽通道检测方法，其特征在于，所述方法还包括：

统计每个IP流对中目标不可到达报文所占ICMP报文流量的百分比，得到第一类型统计特征。

3.根据权利要求1所述的隐蔽通道检测方法，其特征在于，统计每个IP流对中，ICMP请求报文和ICMP应答报文的有效负载长度的统计特征，包括：

统计每个IP流对中，ICMP请求报文和ICMP应答报文的有效负载长度的百分位数和/或平均值。

4.根据权利要求3中所述的隐蔽通道检测方法，其特征在于，所述百分位数包括最小值、下四分位数、中位数、上四分位数、最大值中的至少一种。

5.根据权利要求1所述的隐蔽通道检测方法，其特征在于，所述检测模型基于训练获得，训练方法包括：

获取ICMP数据包；

对所述ICMP数据包进行标记，构建训练集；

将所述训练集输入深度学习网络中进行训练，得到检测模型。