获取网络攻击报文的指纹特征的方法以及网络设备技术

本申请公开了一种获取网络攻击报文的指纹特征的方法以及网络设备，用以在一定程度上解决现有静态指纹特征获取方式效率较低的问题。该方法包括：接收网络流量，所述网络流量中包含正常报文和网络攻击报文；通过n列、m行的二维数组，记录所述网络流量中的报文在载荷内容的不同位置上，各字符出现的次数，n列中的每列分别与载荷内容的一个位置相对应，m行中的每行分别与ASCII码中的一个字符相对应；根据所述二维数组获得特征字符串，所述特征字符串是指在所述网络流量中的报文载荷内容的固定位置上出现次数超过设定频率阈值的字符串；确定所述网络攻击报文的指纹特征为所述特征字符串以及所述特征字符串在所述载荷内容中的位置。

【技术实现步骤摘要】
获取网络攻击报文的指纹特征的方法以及网络设备
本申请涉及计算机网络
，尤其涉及一种获取网络攻击报文的指纹特征的方法及一种获取网络攻击报文的指纹特征的网络设备。
技术介绍
拒绝服务(DoS，DenialofService)攻击是一种常见的网络攻击手段，DoS攻击的目的在于使目标设备的网络资源或系统资源耗尽，进而使得目标设备提供的服务暂时中断或停止，导致目标设备对客户不可用。分布式拒绝服务(DDoS,DistributedDenialofService)攻击是指攻击者使用网络上至少两个受攻击者控制的主机向目标设备发动DoS攻击。相对于DoS攻击而言，DDoS攻击的隐蔽性和破坏性都更强。为了防范DoS攻击或DDoS攻击，现有技术提出了一种静态指纹技术。静态指纹技术是指将发生攻击时的网络流量与未发生攻击时的网络流量进行对比识别出攻击报文；并对攻击报文的内容进行人工分析，得到能够对攻击报文进行识别的指纹特征。指纹特征是指在每个攻击报文的固定位置上都会出现的字符串。得到指纹特征后，网络管理者在防火墙、安全网关等网络安全设备上配置指纹特征进而对后续流量中的报文进行内容匹配，实现对可能出现的攻本文档来自技高网...

【技术保护点】
一种获取网络攻击报文的指纹特征的方法，其特征在于，包括：接收网络流量，所述网络流量中包含正常报文和网络攻击报文，所述正常报文是指用户的正常网络行为产生的报文，所述网络攻击报文是指攻击者执行网络攻击时产生的报文；通过n列、m行的二维数组，记录所述网络流量中的报文在载荷内容的不同位置上，各字符出现的次数，其中，n的取值范围为1至报文载荷的字节数之间的自然数，m的取值范围为1至255之间的自然数，n列中的每列分别与载荷内容的一个位置相对应，m行中的每行分别与ASCII码中的一个字符相对应，各行对应的ASCII码中的字符不同，所述二维数组第i行、第j列的元素Xij的值与在以载荷内容起始位置为基准，偏移...

【技术特征摘要】
1.一种获取网络攻击报文的指纹特征的方法，其特征在于，包括：接收网络流量，所述网络流量中包含正常报文和网络攻击报文，所述正常报文是指用户的正常网络行为产生的报文，所述网络攻击报文是指攻击者执行网络攻击时产生的报文；通过n列、m行的二维数组，记录所述网络流量中的报文在载荷内容的不同位置上，各字符出现的次数，其中，n的取值范围为1至报文载荷的字节数之间的自然数，m的取值范围为1至255之间的自然数，n列中的每列分别与载荷内容的一个位置相对应，m行中的每行分别与ASCII码中的一个字符相对应，各行对应的ASCII码中的字符不同，所述二维数组第i行、第j列的元素Xij的值与在以载荷内容起始位置为基准，偏移量为j的位置上，第i行对应的字符出现的次数正相关；根据所述二维数组获得特征字符串，所述特征字符串是指在所述网络流量中的报文载荷内容的固定位置上出现次数超过设定频率阈值的字符串；确定所述网络攻击报文的指纹特征为所述特征字符串以及所述特征字符串在所述载荷内容中的位置。2.根据权利要求1所述的方法，其特征在于，通过n列、m行的二维数组，记录所述网络流量的报文在载荷内容的不同位置上，各字符出现的次数，包括：针对所述网络流量中的每条报文，依次读取以所述报文的载荷内容起始位置为基准，偏移量为p的位置上的字符Cp，p的取值为从1开始，到k为止的每个自然数，其中k为n和所述报文载荷长度二者中的较小值；在所述二维数组中，查找位置由第p列、所述字符Cp对应的行所确定的元素；将查找到的元素的值在当前值的基础上增加设定递增单位，所述递增单位的取值为正数。3.根据权利要求1或2所述的方法，其特征在于，根据所述二维数组，获得在所述网络流量的固定位置上出现次数超过设定频率阈值的特征字符串，包括：针对所述二维数组，确定元素值大于或等于所述设定频率阈值的元素；确定所述二维数组中的连续列，所述连续列中各列的位置两两相邻、且均包含元素值大于所述设定频率阈值的元素；根据所述连续列包含的列数，确定所述连续列在载荷内容中的位置范围；确定所述连续列中的每一列对应的特征字符，所述特征字符是指该列中每个元素值大于所述设定频率阈值的元素对应的字符；根据连续列中各列的顺序，选取所述连续列中每列对应的一个特征字符，组合成特征字符串，所述特征字符串的位置为所述连续列在载荷内容中的位置范围。4.根据权利要求1至3中任一所述的方法，其特征在于，所述根据所述二维数组获得特征字符串之前，还包括：获取所述网络流量中包含的报文数量；将所述报文数量与预设百分比值相乘得到乘积，将乘积作为所述设定频率阈值。5.根据权利要求4所述的方法，其特征在于，所述预设百分比值的取值范围为10％至100％。6.一种获取网络攻击报文的指纹特征的装置，其特征在于，包括：接收模块，用于接收网络流量，所述网络流量中包含正常报文和网络攻击报文；处理模块，用于通过n列、m行的二维数组，记录所述网络流量中的报文在载荷内容的不同位置上，各字符出现的次数，其中，n的取值范围为1至报文载荷的字节数之间的自然数，m的取值范围为1至255之间的自然数，n列中的每列分别与载荷内...

【专利技术属性】
技术研发人员：潘永波，石凌志，沈海峰，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东,44