[发明专利]提高特征库有效性的检测方法及系统

摘要

本发明公开了一种提高特征库有效性的检测方法及系统，涉及协议分析领域。该系统包括特征冲突检测模块、特征修改模块、冲突特征位置调整模块、概率性影响处理模块。该系统进行检测的方法将包括以下关键步骤：将被检测的特征与特征库中同类型的特征进行对比，若存在冲突，则判断冲突的类型进行分类处理；若特征完全相同，则修改冲突特征中的至少一个特征，重新对比；若特征之间存在相互包含，则调整特征库中存在冲突的特征的位置；若特征标记报文的位置没有交集，或特征标记报文的位置有交集、且交集部分的特征值相等但特征不存在包含关系，则根据冲突概率的大小进行对应处理。本发明能降低误识别率，提高特征库有效性和特征库的质量。

主权项

1.一种提高特征库有效性的检测方法，其特征在于，包括以下步骤：S1、将被检测的特征与特征库中同类型的每一个特征进行对比，检测是否存在特征冲突，如果存在特征冲突，则转到步骤S2；如果不存在特征冲突，则结束；S2、记录出现冲突的特征和相应的协议，判断冲突的类型，如果冲突特征完全相同，则转到步骤S3；如果一特征标记报文的位置是另外特征标记报文的位置的真子集，且同一位置的特征值相等，即特征之间存在相互包含，则转到步骤S4；如果特征标记报文的位置没有交集，或者特征标记报文的位置有交集、且交集部分的特征值相等但特征不存在包含关系，则转到步骤S5；S3、修改冲突特征中的至少一个特征，然后返回步骤S1；S4、调整特征库中存在冲突的特征的位置，避免冲突，结束；S5、设定一个临界值，临界值是指特征与被分析数据之间对比后相同的部分或者相同部分的长度所占特征长度的比例，临界值根据实际情况进行修改；统计冲突特征标记字节的数量或者计算冲突特征标记的比例，判断冲突概率的大小，如果冲突特征标记字节的数量/比例＞临界值，或者冲突特征标记字节的数量/比例＝临界值，则认为出现特征冲突的概率＞实际网络协议的数量级，转到步骤S6；如果冲突特征标记字节的数量/比例＜临界值，则认为出现特征冲突的概率＜实际网络协议的数量级，结束；S6、修改冲突特征中的至少一个特征，增强特征条件，直到不存在冲突或者冲突特征标记字节的数量/比例＜临界值，结束。