[发明专利]基于布隆过滤器的网络取证载荷归属方法及系统

摘要

本发明提出了一种基于布隆过滤器的网络取证载荷归属方法及系统，包括：抓取预备取证的网络数据流，对网络数据流进行预处理；并对载荷进行分块，将分块内容代入指定的哈希函数中，得到的哈希函数的结果为对应的布隆过滤器的编号，将分块内容根据布隆过滤器的编号分别存储至对应的布隆过滤器中；获取预备查询的字段，对预备查询字段中的所有分块逐个进行哈希运算，判断预备查询的字段的所有分块是否均映射到对应的布隆过滤器的位置，如果是则判断载荷包括预备查询的字段。本发明能够较好地支持通配符的查询，不仅解决了首块偏移问题、对齐问题和连续性问题，而且在可接受的数据压缩比率下，减小了假阳性误报比率，提高了查询速度和验证准确度。

主权项

1.一种基于布隆过滤器的网络取证载荷归属方法，其特征在于，包括如下步骤：步骤S1，抓取预备取证的网络数据流，并对所述网络数据流进行预处理，得到预处理后的网络数据流作为载荷；步骤S2，对所述载荷进行分块，并将分块内容代入指定的哈希函数中，得到的哈希函数的结果为对应的布隆过滤器的编号，将所述分块内容根据所述布隆过滤器的编号分别存储至对应的布隆过滤器中，在所述步骤S2中，对所述载荷进行分块，包括如下步骤：设所述载荷为{c1,c2,...,cn}，首先，在所述载荷上设置一个大小为k的滑动窗口，其中，第i个窗口内的字符为{ci,ci+1,...,ci+k‑1}，1≤i≤n‑k+1；然后，对每个所述窗口计算哈希值H(ci,ci+1,...,ci+k‑1)，其中，H(ci,ci+1,...,ci+k‑1)＝(ci mod q)×pk‑1+(ci+1mod q)×pk‑2+...+(ci+k‑1modq)×p0其中，p为预设固定的素数，q为预设常数，mod为取模运算；其次，将计算出的哈希值H(ci,ci+1,...,ci+k‑1)存入哈希数组{h1,h2,...,hi,...}，其中第i项hi＝H(ci,ci+1,...,ci+k‑1)；最后，在所述哈希数组{h1,h2,...,hi,...}上滑动一个大小为w的窗口，在每一个窗口内选取最小值，在选取的哈希值所对应的载荷窗口的首个字符后插入一个块边界，每两个连续的块边界之间的内容连接上紧邻的u个字符的内容，作为分块内容；步骤S3，获取预备查询的字段，对所述预备查询字段中的所有分块逐个进行哈希运算，分别得到对应的布隆过滤器，判断所述预备查询的字段的所有分块是否均映射到对应的所述布隆过滤器的位置，如果是则判断所述载荷包括所述预备查询的字段。