一种多流关联分析识别私有加密数据的方法及系统技术方案

一种多流关联分析识别私有加密数据的方法及系统，包括一类私有加密数据识别，一类私有加密数据识别过程获得非一类私有加密数据；从非一类私有加密数据中进行二类私有加密数据识别；将识别的一类私有加密数据和二类私有加密数据进行引擎上报；获取非一类私有加密数据，对非一类私有加密数据进行数据流关联分析；预设二类私有加密数据的特征码和端口，通过识别第一源IP、第一源端口、第一目的IP和第一目的端口，进行第一会话标识；匹配特征码和端口，判断第一会话是否属于二类私有加密数据；若属于二类私有加密数据进行后续会话的识别处理。本发明专利技术实现对特定私有加密数据的动态分析；识别范围、适用场景更加广泛，提高网络中海量数据的利用率。海量数据的利用率。海量数据的利用率。

【技术实现步骤摘要】
一种多流关联分析识别私有加密数据的方法及系统


[0001]本专利技术涉及一种多流关联分析识别私有加密数据的方法及系统，属于加密数据处理


技术介绍

[0002]目前，私有加密数据的识别主要有以下方案：
[0003]第一、使用特征码识别加密数据。主要是通过判断TCP负载的字节偏移是否为特定的值，如果等于某个值，则认为该数据为加密数据，如果不等于则认为该数据不是加密数据。
[0004]第二、使用端口识别加密数据。客户端与服务器进行通信，传递加密信息。在通信建立连接前，服务器需要监听某一个端口，等待客户端的连接。这样，可以使用端口特征识别出加密数据。通常，这些端口不是常用的服务端口(0
‑
1024)。
[0005]第三、使用信息熵计算应用到加密数据识别的情况比较少，且识别的时候大多数采用计算方法如下：H(X)＝
‑
Σp(x)log p(x)，这样能够实现自动化识别加密数据。
[0006]现有技术存在以下问题：
[0007]基于特征码识别加密数据，没有办法验证软件特征是本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种多流关联分析识别私有加密数据的方法，其特征在于，包括一类私有加密数据识别，所述一类私有加密数据识别过程获得非一类私有加密数据；从所述非一类私有加密数据中进行二类私有加密数据识别；将识别的一类私有加密数据和二类私有加密数据进行引擎上报；所述二类私有加密数据的识别步骤包括：获取非一类私有加密数据，对所述非一类私有加密数据进行数据流关联分析；预设二类私有加密数据的特征码和端口，通过识别第一源IP、第一源端口、第一目的IP和第一目的端口，进行第一会话标识；进行特征码和端口匹配，判断所述第一会话是否属于二类私有加密数据；若所述第一会话属于二类私有加密数据进行第二会话的识别处理，所述第二会话的识别处理过程中，通过识别第二源IP、第二源端口、第二目的IP、第二目的端口，进行第二会话标识；将所述第二会话中的第二源IP、第二目的IP和第二目的端口，分别与所述第一会话中的第一源IP、第一目的IP、第一目的端口进行比较；若第二源IP和第一源IP，第二目的IP和第一目的IP，第二目的端口和第一目的端口的比较结果均一致，继续进行特征码和端口匹配，判断所述第二会话是否属于二类私有加密数据，若所述第二会话属于二类私有加密数据进行第三会话的识别处理。2.根据权利要求1所述的一种多流关联分析识别私有加密数据的方法，其特征在于，所述一类私有加密数据的识别步骤包括：获取解析后的待识别数据，预设黑名单IP列表和白名单IP列表；判断所述待识别数据中的目的IP是否存在于所述黑名单IP列表中：若所述目的IP存在于所述黑名单IP列表中，将所述待识别数据作为非一类私有加密数据；若所述目的IP不存在于所述黑名单IP列表中，则判断所述目的IP是否存在于所述白名单IP列表中；判断所述待识别数据中的目的IP是否存在于所述白名单IP列表中：若所述目的IP存在于所述白名单IP列表中，将所述待识别数据作为一类私有加密数据并引擎上报；若所述目的IP不存在于所述白名单IP列表中，则对待识别数据的TCP负载进行二进制离散法计算，判断TCP负载的离散程度。3.根据权利要求2所述的一种多流关联分析识别私有加密数据的方法，其特征在于，对待识别数据的TCP负载进行二进制离散法计算，判断TCP负载的离散程度包括：预设待识别数据的TCP负载的离散程度占比K；统计0比特出现的次数C0和1比特出现的次数C1；若C0/(C0+C1)：C1/(C0+C1)＝K，将待识别数据作为疑似一类私有加密数据，并对疑似一类私有加密数据进行解密判断；若C0/(C0+C1)：C1/(C0+C1)≠K，则判断待识别数据不符合一类私有加密数据，将待识别数据作为非一类私有加密数据，并将待识别数据的目的IP加入到黑名单IP列表。4.根据权利要求2所述的一种多流关联分析识别私有加密数据的方法，其特征在于，对
疑似一类私有加密数据进行解密判断包括：结合疑似一类私有加密数据的特征，预设加密算法的解密程序；对解析的TCP负载内容采用指定加密算法的解密程序进行解密判断；若解密成功，将对应待识别数据作为一类私有加密数据并引擎上报，并将待识别数据的目的IP加入到白名单IP列表；若解密失败：将对应待识别数据作为非一类私有加密数据，并将待识别数据的目的IP加入到黑名单IP列表。5.根据权利要求1所述的一种多流关联分析识别私有加密数据的方法，其特征在于，所述第三会话的识别处理过程中，通过识别第三源IP、第三源端口、第三目的IP、第三目的端口，进行第三会话标识；将所述第三会话中的第三源IP、第三目的IP和第三目的端口，分别与所述第二会话中的第二源IP、第二目的IP和第二目的端口，及所述第一会话中的第一源IP、第一目的IP、第一目的端口进行比较；若第三源IP、第二源IP和第一源IP，第三目的IP、第二目的IP和第一目的IP，第三目的端口、第二目的端口和第一目的端口的比较结果均一致，继续进行特征码和端口匹配，判断所述第三会话是否属于二类私有加密数据，若所述第三会话属于二类私有加密数据则引擎上报所述二类私有加密数据。6.一种多流关联分析识别私有加密数据的系统，其特征在于，包括一类私有加密数据识别单元、二类私有加密数据识别单元和引擎上报单元；通过所述一类私有加密数据识别单元获得非一类私有加密数据；所述二类私有加密数据识别单元从所述非一类私有加密数据中进行二类私有加密数据识别；所述引擎上报单元将识别的一类私有加密数据和二类私有加...

【专利技术属性】
技术研发人员：蔡晶晶，陈俊，张雪峰，康传鹏，于秋梅，
申请(专利权)人：北京永信火眼科技有限公司，
类型：发明
国别省市：