一种跨会话流网络攻击筛选方法技术

本发明专利技术提供了一种跨会话流网络攻击筛选方法。所述方法包括预先从三个层面抽象定义属于跨会话流网络攻击行为的会话流特征的步骤；对单个会话流进行四元组定义分析的步骤；对单个会话流进行流特征定义分析的步骤；各个会话流进行流间特征匹配的步骤。本系统从三个维度对会话流进行过滤，并且能够分别实现匹配，能够有效应对没有单包特征、跨越多个网络会话流的攻击，能够根据已掌握的流间特征，完整检测出新型的高级网络攻击，提升网络反窃密工作中针对新型网络攻击的检测发现能力。

【技术实现步骤摘要】

本专利技术属于网络攻击分析
，尤其涉及到一种跨会话流网络攻击筛选方法。
技术介绍
随着网络攻击的日益复杂化，传统的基于单包特征匹配的攻击检测方式已越来越无法应对新的攻击。目前，APT（高级可持续）攻击都会对窃密通信进行隐藏，常见的隐蔽方式主要有数据加密和使用可信的信道（如使用HTTP和HTTPS端口传输），使用加密算法后的数据包没有固定的特征，而且越来越多的木马激活与上线不再使用黑域名。这些隐藏方式已经对传统的基于数据包特征和黑域名的检测方式造成了巨大的挑战。目前，最先进的窃密程序已经采用了跨会话流的通信方式，即木马激活代码、窃密指令、窃密数据都是由不同的IP，通过不同的端口，经由不同的加密方式分别传输。经过深入研究后发现，此类攻击虽无单包网络攻击特征，但因是程序控制完成，还是有特征可循的。如：攻击会话流中的某些流特征是相对固定的，与攻击相关的会话流间存在先后的关联顺序等，因此可通过构建攻击模型的方式进行检测。目前国内外主流的模型匹配引擎都是建立在单一会话流分析的需求前提下开发的。为实现跨会话流的攻击模型匹配，必须对跨会话流的分析技术进行研究。
技术实现思路
为解决上述问题，本专利技术提供了一种跨会话流网络攻击筛选方法，包括如下步骤：步骤一：预先从三个层面上抽象定义属于跨会话流网络攻击行为的会话流特征，分别为四元组定义、流选项定义、流间定义；所述四元组定义用于从IP和端口的维度去描单个会话流的特征；所述流选项定义用于描述单个会话流的流体特征；所述流间特征定义用于定义单个会话流之间的关系。步骤二：在会话流持续期间利用四元组定义对待分析会话流的单个会话流进行四元组定义分析，提取出符合四元组定义的单个会话流。步骤三：等第二步中提取出得单个数据结束或者关闭后，根据流选项定义对其进行分析，提取出符合流选项定义的单个会话流。步骤四：根据流间特征定义，对步骤三提取出得各个会话流进行流间特征匹配，提取出符合流间特征定义的会话流，即为网络攻击会话流。进一步的，流选项定义的单个会话流的流体特征包括会话流持续时间和/或数据包。进一步的，所述流间特征定义的单个会话流之间的关系包括流时序之间的关系和/或流上下文之间的关系。进一步的，所述流上下文之间的关系包括待匹配的单个会话流之间的IP关系和/或端口关系和/或流间特征匹配性关系。进一步的，所述方法采用数据采集引擎对会话流进行抓取，对抓取到的会话流执行步骤二至在步骤四。本专利技术的有益效果为：本系统定义了行为模型的三个维度的描述，并且能够分别实现匹配，能够有效应对没有单包特征，跨越多个网络会话流的攻击，能够根据已掌握的流间特征，完整检测出新型的高级网络攻击，提升网络反窃密工作中针对新型网络攻击的检测发现能力。附图说明图1是本专利技术所述方法的流程图。具体实施方式如图1所示，本专利技术可归纳为如下步骤：步骤一：预先从三个层面上抽象定义属于跨会话流网络攻击行为的会话流特征，分别为四元组定义、流选项定义、流间定义；所述四元组定义用于从IP和端口的维度去描单个会话流的特征；所述流选项定义用于描述单个会话流的流体特征；所述流间特征定义用于定义单个会话流之间的关系。步骤二：在会话流持续期间利用四元组定义对待分析会话流的单个会话流进行四元组定义分析，提取出符合四元组定义的单个会话流。本方法利用网络数据采集引擎。采集引擎支持从千兆到上万兆网络环境下的流量线速采集，能够为系统上层的数据分析提供真实可靠的数据源。所述网络数据采集引擎可选择成都软件有限公司的第三代网络数据采集引擎（Colasoft Packet Capture Engine，简称CSPCE）和底层驱动（支持Windows与Linux双平台），其支持从千兆到上万兆网络环境下的流量线速采集。在采集过程中，引擎会根据流量大小自动调整抓包策略，当出现突发性流量峰值时，自动提高引擎缓存数量与大小，确保峰值数据不丢失。由于网络回溯分析技术要针对全网数据进行采集，对错误格式的非法数据包并不进行丢弃，而是积极进行识别捕获，同时能智能识别其中的攻击含义字段，防止引擎自身崩溃。步骤三：等第二步中提取出得单个数据结束或者关闭后，根据流选项定义对其进行分析，提取出符合流选项定义的单个会话流；步骤四：根据流间特征定义，对步骤三提取出得各个会话流进行流间特征匹配，提取出符合流间特征定义的会话流，即为网络攻击会话流。进一步的，流选项定义的单个会话流的流体特征包括会话流持续时间和/或数据包。当然，也可以根据实际情况定义其他流体特征。进一步的，所述流间特征定义的单个会话流之间的关系包括流时序之间的关系和/或流上下文之间的关系。流上下文之间的关系包括待匹配的单个会话流之间的IP关系和/或端口关系和/或流间特征匹配性关系。所述IP关系主要是判断会话流是否来源于为同一IP或者有关联的不同IP。所述端口关系主要是判断会话流是否来源于同一端口或者有关联的不同端口。所述流间特征匹配性关系主要是判断待匹配的会话流的某些流特征之间的匹配度是否满足要求。当然，也可以根据实际情况定义其上下文关系。本文档来自技高网...

【技术保护点】
一种跨会话流网络攻击筛选方法，其特征在于，包括如下步骤：步骤一：预先从三个层面上抽象定义属于跨会话流网络攻击行为的会话流特征，分别为四元组定义、流选项定义、流间定义；所述四元组定义用于从IP和端口的维度去描单个会话流的特征；所述流选项定义用于描述单个会话流的流体特征；所述流间特征定义用于定义单个会话流之间的关系；步骤二：在会话流持续期间利用四元组定义对待分析会话流的单个会话流进行四元组定义分析，提取出符合四元组定义的单个会话流；步骤三：等第二步中提取出得单个数据结束或者关闭后，根据流选项定义对其进行分析，提取出符合流选项定义的单个会话流；步骤四：根据流间特征定义，对步骤三提取出得所有会话流进行流间特征匹配，提取出符合流间特征定义的会话流，即为网络攻击会话流。

【技术特征摘要】
1.一种跨会话流网络攻击筛选方法，其特征在于，包括如下步骤：步骤一：预先从三个层面上抽象定义属于跨会话流网络攻击行为的会话流特征，分别为四元组定义、流选项定义、流间定义；所述四元组定义用于从IP和端口的维度去描单个会话流的特征；所述流选项定义用于描述单个会话流的流体特征；所述流间特征定义用于定义单个会话流之间的关系；步骤二：在会话流持续期间利用四元组定义对待分析会话流的单个会话流进行四元组定义分析，提取出符合四元组定义的单个会话流；步骤三：等第二步中提取出得单个数据结束或者关闭后，根据流选项定义对其进行分析，提取出符合流选项定义的单个会话流；步骤四：根据流间特征定义，对步骤三提取出得所有会话流进行流间特征匹配，提取出符...

【专利技术属性】
技术研发人员：罗鹰，王思宇，林康，
申请(专利权)人：成都科来软件有限公司，
类型：发明
国别省市：四川;51