[发明专利]加密流量的普适识别方法

摘要

本发明涉及一种加密流量的普适识别方法；加密流量的普适识别方法的步骤如下：步骤1.获取网络数据，并提取网络层数据；步骤2.根据源IP地址、目的IP地址、源端口、目的端口和协议汇聚数据流：将一系列具有相同的源地址、相同的目的地址、相同的源端口、相同的目的端口和相同的协议的IP协议报文组成一个数据流；步骤3从数据流中提取有效数据；步骤4.对有效数据进行频数检测；步骤5.根据频数检测结果，判定数据流是否为加密数据流；本发明可以在不需要具体加密协议细节的条件下，实现加密流量的普适识别。

主权项

一种加密流量的普适识别方法，其特征是：识别步骤如下：步骤1.获取网络数据，并提取网络层数据；提取网络层数据的方法为：根据网络数据来源，即传输链路的类型，判断链路层协议；根据链路层协议处理网络数据，丢弃与链路层以上协议无关的内容，提取出网络层数据；提取到网络层数据后再对网络层数据进行下面的处理：如果网络层数据为非IP协议报文，则丢弃；如果网络层数据为IP协议报文，则去除IP协议报文头部，然后将该IP协议报文保留下来用作后续步骤处理；步骤2.根据源IP地址、目的IP地址、源端口、目的端口和协议汇聚数据流：将一系列具有相同的源地址、相同的目的地址、相同的源端口、相同的目的端口和相同的协议的IP协议报文组成一个数据流；步骤3从数据流中提取有效数据：步骤3.1如果IP协议报文的载荷是TCP协议报文或UDP协议报文，则去除TCP协议报文或UDP协议报文的头部，剩余数据即为有效数据；步骤3.2如果IP协议报文的载荷不是TCP协议报文或UDP协议报文，则直接将IP协议报文的载荷作为有效数据；步骤4.对有效数据进行频数检测，频数检测步骤如下：步骤4.1将有效数据转换为二进制序列，即0、1序列，记为s＝{X1，X2，L Xn}，其中，s为二进制序列，Xn为s的第n位，Xn的值为0或1；步骤4.2将s中为0的位的值均替换成‑1，然后计算s的所有位的值之和，记作Sn，Sn＝Y1+Y2+L+Yn，其中，Yn＝2Xn‑1；步骤4.3计算Sobs，使用如下公式： S obs = | S n | n ; 步骤4.4计算p，使用如下公式： p = 2 π ∫ S obs 2 ∞ e - u 2 du , 其中，p表示数据流为加密数据流的概率值，p的范围为：0≤p≤1，p用于加密数据流的判定；步骤5.判定数据流是否为加密数据流：设定一个判定阈值β，如果p＞β，则判定该数据流为加密数据流；如果p≤β，则判定该数据流非加密数据流。