一种基于行为特征的复用协议识别方法及系统

摘要

本发明提供一种基于行为特征的复用协议识别方法及系统，该方法包括：获取并分析多个具体协议应用的报文，确定所述多个具体协议应用的复用协议的种类；获取复用协议的报文，提取所述复用协议的共有特征和私有特征，编译形成特征库并加载；扫描主机产生的连接流量，若发现连接匹配命中私有特征，则记录该行为，设定超时时间；若发现连接匹配命有特征，则查询所述主机是否有所述记录行为或查询所述主机是否存在实时行为，若存在所述记录行为，则识别所述连接为所述记录行为的对应协议；若存在所述实时行为，则识别为所述实时行为的对应协议，否则继续扫描。通过本发明能够有效识别复用协议下各个具体协议，提高了协议识别的精度。

主权项

一种基于行为特征的复用协议识别方法，其特征在于，该方法包括步骤：S1、获取并分析多个具体协议应用的报文，确定所述多个具体协议应用的复用协议的种类；S2、获取复用协议的报文，提取所述复用协议的共有特征和私有特征，编译形成特征库并加载；S3、扫描主机产生的连接流量，若发现连接匹配命中所述特征库中的私有特征，则记录该行为，设定所述行为的时间限制；若发现连接匹配命中所述特征库中的共有特征，则查询所述主机是否存在所述记录行为或查询所述主机是否存在实时行为，若存在所述记录行为，则识别所述连接为所述记录行为的对应协议；若存在实时行为，则识别所述连接为所述实时行为的对应协议，否则继续扫描。