[发明专利]基于DFI的移动端加密视频广告流量识别方法

摘要

一种基于DFI的移动端加密视频广告流量识别方法，将相同IP源宿地址的数据包组成IP流，找出传输数据量最大的IP流largest_stream，将传输速率大于40的时刻值记入highrate，当首次出现主体流量时间序列的序列值之差大于10时，将之前主体流量时间序列序列值存highrate_before；之后的存入highrate_later，将长度大于highrate长度的一半的highrate_before赋值highrate，否则将highrate_later赋值highrate，将主体流量时间序列的最小值与被比较的IP流播放时长之和小于largest_stream的主体流量开始时刻的IP流加到广告流序列；将主体流量时间序列的最小值与largest_stream的播放时长之和小于被比较的IP流的主体流量开始时刻的largest_stream加到广告流序列，将广告流序列中数据量最大的IP流作为广告流。

主权项

1.一种基于DFI的移动端加密视频广告流量识别方法，其特征在于，包括：移动端加密广告和视频流量的采集步骤和广告流与视频流行为特征关联匹配步骤，通过所述移动端加密广告和视频流量的采集步骤从移动端加密视频广告中获取pcap或pcapng文件，所述的广告流与视频流行为特征关联匹配步骤为：步骤201遍历pcap或pcapng文件中的所有数据包，将相同IP源地址和IP宿地址的数据包组成IP流，统计每条IP流的传输数据量、开始时间、结束时间和持续时间，步骤202遍历pcap或pcapng文件中的所有数据包，并统计传输层协议信息，将传输层协议信息为TCP的数据包总数计入变量tcp_count，将传输层协议信息为UDP的数据包总数计入变量udp_count，如果tcp_count＞udp_count，将pcap或pcapng文件标记为由TLS协议传输，如果tcp_count＜udp_count，则将pcap或pcapng文件标记为由QUIC协议传输，步骤203过滤掉步骤201中数据量小于阈值ip_bytes_threshold的IP流，步骤204从过滤后的IP流中查找出传输数据量最大的IP流，记为largest_stream，步骤205分别对每条IP流进行如下操作：遍历每条IP流中的数据包，记录每个整数秒内数据包的数量，得到该IP流每秒的数据包传输速率packets_ps，将数据包传输速率大于40个每秒的时刻值记录在主体流量时间序列数组highrate中，再对主体流量时间序列数组highrate的断流情况进行标记，从头遍历数组highrate，当首次出现相邻两个主体流量时间序列的序列值之差大于10时，将当前相邻序列值中前一个序列值及其之前的所有主体流量时间序列的序列值存入新建的数组highrate_before，记为第一段流量时间序列；将当前相邻序列值中后一个序列值及其之后的所有主体流量时间序列的序列值存入新建的数组highrate_later，记为第二段流量时间序列，然后对IP流的主体流量时间序列highrate进行重新赋值，如果数组highrae_before的长度大于数组highrate长度的一半，则先清空数组highrate，再将数组highrate_before赋值给数组highrate，否则，先清空数组highrate，再将数组highrate_later赋值给数组highrate，步骤206将数据量最大的largest_stream与largest_stream以外的过滤后的各个IP流依次比较，如果被比较的IP流的主体流量时间序列的最小值与被比较的IP流的数据量所对应的播放时长之和小于largest_stream的主体流量开始时刻，则将被比较的IP流加入到广告流序列中；如果largest_stream的主体流量时间序列的最小值与largest_stream的数据量所对应的播放时长之和小于被比较的IP流的主体流量开始时刻，则将largest_stream加入到广告流序列中，步骤207将广告流序列中数据量最大的IP流作为广告流；如果广告流序列为空，则在数据量最大的largest_stream中查询可能与视频流同IP的广告流，当第一段IP流量所对应的播放时长小于第二段IP流量的开始时刻与第一段IP流量的开始时刻的差值，则第一段IP流量为真正的广告流。