协议特征库在线更新方法及系统

摘要

本发明涉及一种协议特征库在线更新方法及系统，方法包括：流量探针设备通过DPI技术和DFI技术识别可疑未知数据流量，并进行采样；将样本发给特征库分析平台；特征库分析平台统计样本的统计特征和行为模式特征，并与协议特征库中未记录的新协议或应用的数据流量进行匹配，确定对应的统计特征和行为模式特征，并形成特征库文件或特征条目；然后更新到协议特征库中。本发明通过布设采用DPI技术和DFI技术的流量探针设备来及时发现可疑未知数据流量，通过采集样本与新的协议或应用匹配的方式来确定新的协议或应用对应的统计特征和行为模式特征，并基于此对协议特征库进行在线更新，从而实现协议特征库的快速在线更新，提高协议识别效率。

主权项

一种协议特征库在线更新方法，包括：流量探针设备通过深度包检测技术和深度流检测技术识别符合预设速率和持续时间的可疑未知数据流量，并进行采样；所述流量探针设备将所述可疑未知数据流量的样本发给特征库分析平台；所述特征库分析平台接收到所述可疑未知数据流量的样本后，统计所述可疑未知数据流量的样本的统计特征和行为模式特征；所述特征库分析平台将所述可疑未知数据流量的样本的统计特征和行为模式特征与协议特征库中未记录的新协议或应用的数据流量进行匹配，确定所述新协议或应用的数据流量所对应的统计特征和行为模式特征，并形成特征库文件或特征条目；所述特征库分析平台将形成的特征库文件或特征条目更新到协议特征库中。