一种基于特征片段自发现的可疑隧道检测方法与系统

摘要

本发明公开了一种基于特征片段自发现的可疑隧道检测方法和系统，包括基于特征片段锁定算法锁定特征片段集合并找出最邻近片段集合；在可疑隧道检测过程中，实时提取元数据片段，基于片段间最小距离搜索算法分别计算元数据片段与特征片段集合和最邻近片段之间的最小距离，计算可疑元数据片段的判定参数，当判定参数的结果小于零时，判定元数据片段为可疑片段并报警；当大于或等于零时，为非可疑片段。通过本发明的方案，能够同时具备误用检测技术的自解释能力和异常检测技术的发现未知可疑隧道的优点，避免了网络安全专家的大量精力投入，回避了统计特征被平均化的问题。

主权项

一种基于特征片段自发现的可疑隧道检测方法，其特征在于，所述方法包括：S1、构建特定的可疑隧道，基于所述可疑隧道建立对应于可疑隧道流量的多个可疑隧道样本；S2、建立对应于正常的宿主协议流量的正常隧道样本；S3、基于特征片段锁定算法从所述多个可疑隧道样本中锁定所述可疑隧道的特征片段集合；并找出所述正常隧道样本中与所述特征片段集合对应的最邻近片段集合；S4、从实时通信流量中提取元数据片段；S5、基于所述片段间最小距离搜索算法分别计算所述元数据片段与所述特征片段集合之间的最小距离，以及所述元数据片段和所述最邻近片段之间的最小距离，基于所述最小距离和所述可疑隧道检测算法，计算可疑元数据片段的判定参数，当所述判定参数的结果小于零时，判定所述元数据片段为可疑片段并报警；当所述判定参数的结果大于或等于零时，判定所述元数据片段为非可疑片段。