CN110430214A - 一种代理上网的识别方法及系统 - Google Patents

Abstract

本发明公开了一种代理上网识别方法及系统，属于数据通信技术领域，方法包括：步骤S1，处理得到所述用户终端的所有网络行为并输出为第一数据结果；步骤S2，根据所述第一数据结果，检测识别网络行为中的冲突行为步骤S3，确定用户终端是否为代理其他用户终端上网的用户终端；系统包括：采集模块，存储模块，识别模块，分析模块，判定模块；上述技术方案有益效果是：解决了现有技术中因代理手段变化而导致现有防代理方案无法识别或者识别准确率低的问题，在提高代理上网识别准确率的同时又不会对网络应用带来制约，对解决代理检测的问题具有更加稳点、可靠、准确的效果。

Description

一种代理上网的识别方法及系统

技术领域

本发明涉及数据通信技术领域，尤其涉及一种代理上网的识别方法及系统。

背景技术

近些年来，随着网络技术的普及和校园网络用户应用水平的不断提高，校园网络的运维过程中出现了很多难以监控和管理的用户行为，尤其是用户私自架设代理服务器的行为，为网络的正常运行和管理带来了很多的问题，如使得基于用户的流量管理无法进行，用户日志追踪无法定位，滥用网络资源，占用大量校园网络带宽等；同时，代理上网会造成网络运营机构开户数变少，收费减少的问题，给网络安全也带来巨大隐患。然而现有技术中采用的防代理解决方式较为单一，都是通过用户的特征信息进行代理识别，比如，通过控制网络接口数量或限定网络访问的TCP连接数量来实现防代理，这些方式在一定程度上起到了防代理的作用，但在一些情况下，凭单一方式不能准确判别代理行为，同时对网络的应用也带来了一定的制约作用，且随着网络技术的不断更新，代理上网的手段越来越多，面对一些新的代理手段，传统的防代理系统已经束手无策。

发明内容

根据现有技术中存在的上述问题，现提供一种代理上网的识别方法及系统，通过深度分析用户的行为数据来进行代理识别，其原理在于用户的各种网络行为不会随着代理手段的的变更而变化，通过对用户的各种网络行为的分析，从中找到冲突的网络行为和不合逻辑的网络行为，以此来判断用户是否正处于代理上网的环境中，从根本上解决了现有技术中防代理方案无法识别或者识别准确率低的缺陷，同时对网络应用也不会带来制约。

上述技术方案具体包括：

一种代理上网的识别方法，其中包括：

步骤S1，获取用户终端上网时在第一时间周期内所有的网络数据，并对所述网络数据进行分析，处理得到所述用户终端的所有网络行为并输出为第一数据结果；

步骤S2，根据所述第一数据结果，检测识别所述第一时间周期内的所有所述网络行为中的冲突行为并输出为第二数据结果；

步骤S3，根据所述第二数据结果确定所述用户终端是否为代理其他用户终端上网的用户终端，并处理得到第三数据结果；

所述第二数据结果包括：

疑冲突行为，用于表示所述用户终端的众多的所述网络行为中可能存在的冲突行为；

恒冲突行为，用于表示所述用户终端的众多的所述网络行为中确定存在的冲突行为；

所述第三数据结果包括：

疑代理用户，用于表示所述用户终端可能启用了代理的用户；

恒代理用户，用户表示所述用户终端确定启用了代理的用户。

优选地，其中，所述步骤S1具体包括：

步骤S11，获取所述第一时间周期内的所述网络数据；

步骤S12，根据TCP/IP协议对所述网络数据进行应用层数据的深度分析，并通过对常见应用程序所使用的应用层端口和特征报文来确定所述用户终端在所述第一时间周期内的进行的所述网络行为；

步骤S13，将所述用户终端在所述第一时间周期内进行的网络行为输出为第一数据结果。

优选地，其中，所述步骤S2具体包括：

步骤S21，判断所述第一数据结果中包括的所述网络行为是否符合预先设置的第一预设条件，并将符合所述第一预设条件的所述网络行为标记为所述疑冲突行为；

步骤S22，判断每个所述疑冲突行为的冲突持续时间是否超过一预设时间，并将超过所述预设时间的所述疑冲突行为更改标记为所述恒冲突行为；

步骤S23，将所述疑冲突行为和所述恒冲突行为输出为所述第二数据结果。

优选地，其中，所述步骤3具体包括：

步骤S31，根据预先设置的第二预设条件，对所述第二数据结果中的所述疑冲突行为和所述恒冲突行为分别赋予相应的分值；

步骤S32，统计所述第二数据结果中的所述疑冲突行为和所述恒冲突行为的分值之和，并比较是否大于预设阈值，若是，则将所述用户终端标记为恒代理用户，若否，则将所述用户终端标记为疑代理用户；

步骤S33，将所述恒代理用户或所述疑代理用户输出为第三数据结果。

一种代理上网的识别系统，其种采用了如权利要求1-4任意一项所述的代理上网的识别方法，还包括：

采集模块，用于获取用户终端上网时在第一时间周期内所有的网络数据；

存储模块，连接所述采集模块，用于存储所述采集模块采集到的所述网络数据；

识别模块，连接所述存储模块，所述识别模块对所述网络数据进行分析，处理得到所述用户终端的所有网络行为并输出为第一数据结果，将所述第一数据结果存储于所述存储模块中；

分析模块，连接所述存储模块，根据所述第一数据结果，检测识别所述第一时间周期内所述网络行为中的冲突行为并输出为第二数据结果；

判定模块，分别连接所述分析模块与所述存储模块，根据所述第二数据结果确定所述用户终端是否为代理其他用户终端上网的用户终端，并处理得到第三数据结果；

所述第二数据结果包括：

疑冲突行为，用于表示所述用户终端的众多的所述网络行为中可能存在冲突行为；

恒冲突行为，用于表示所述用户终端的众多的所述网络行为中确定存在冲突行为；

所述第三数据结果包括：

疑代理用户，用于表示所述用户终端可能启用了代理的用户；

恒代理用户，用户表示所述用户终端确定启用了代理的用户。

优选地，其中，所述识别模块具体包括：

调取单元，用于获取所述存储单元中所述第一时间周期内的所述网络数据；

分析单元，连接所述调取单元，根据TCP/IP协议对所述网络数据进行应用层数据的深度分析，并通过对常见应用程序所使用的应用层端口和特征报文来确定所述用户终端在所述第一时间周期内的进行的所述网络行为；

第一输出单元，连接所述分析单元，将所述用户终端在所述第一时间周期内进行的网络行为输出为第一数据结果，并将所述第一数据结果存储于所述存储模块中。

优选地，其中，所述分析模块具体包括：

检测单元，用于判断所述第一数据结果中包括的所述网络行为是否符合预先设置的第一预设条件，并将符合所述第一预设条件的所述网络行为标记为所述疑冲突行为；

判断单元，连接所述检测单元，用于判断每个所述疑冲突行为的冲突持续时间是否超过一预设时间，并将超过所述预设时间的所述疑冲突行为更改标记为所述恒冲突行为；

第二输出单元，连接所述判断单元，将所述疑冲突行为和所述恒冲突行为输出为所述第二数据结果。

优选地，其中，所述判定模块具体包括：

打分单元，根据预先设置的第二预设条件，对所述第二数据结果中的所述疑冲突行为和所述恒冲突行为分别赋予相应的分值；

统计单元，连接所述打分单元，统计所述第二数据结果中的所述疑冲突行为和所述恒冲突行为的分值之和，并比较是否大于预设分值，若是，则将所述用户终端标记为恒代理用户，若否，则将所述用户终端标记为疑代理用户；

第三输出单元，连接所述统计单元，将所述恒代理用户或所述疑代理用户输出为第三数据结果。

上述技术方案的有益效果在于：

提供一种代理上网的识别方法及系统，通过深度分析用户的行为数据来进行代理识别，该基于用户行为数据的分析方法不会因为用户代理手段的变化而产生适配性的问题，从根本上解决了现有技术中因代理手段变化而导致现有防代理方案无法识别或者识别准确率低的问题，在提高代理上网识别准确率的同时又不会对网络应用带来制约，对解决代理检测的问题具有更加稳点、可靠、准确的效果。

附图说明

图1是本发明的较佳实施例中，一种代理上网的识别方法的总体流程示意图；

图2是本发明的较佳实施例中，于图1的基础上，步骤S1的分步骤流程示意图；

图3是本发明的较佳实施例中，于图1的基础上，步骤S2的分步骤流程示意图；

图4是本发明的较佳实施例中，于图1的基础上，步骤S3的分步骤流程示意图；

图5是本发明的较佳实施例中，一种代理上网的识别系统的总体结构示意图；

图6是本发明的较佳实施例中，于图5的基础上，识别模块的内部结构示意图；

图7是本发明的较佳实施例中，于图5的基础上，分析模块的内部结构示意图；

图8是本发明的较佳实施例中，于图5的基础上，判定模块的内部结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

下面结合附图和具体实施例对本发明作进一步说明，但不作为本发明的限定。

一种代理上网的识别方法，其中包括：

步骤S1，获取用户终端上网时在第一时间周期内所有的网络数据，并对网络数据进行分析，处理得到用户终端的所有网络行为并输出为第一数据结果；

步骤S2，根据第一数据结果，检测识别第一时间周期内的所有网络行为中的冲突行为并输出为第二数据结果；

步骤S3，根据第二数据结果确定用户终端是否为代理其他用户终端上网的用户终端，并处理得到第三数据结果；

第二数据结果包括：

疑冲突行为，用于表示用户终端的众多的网络行为中可能存在的冲突行为；

恒冲突行为，用于表示用户终端的众多的网络行为中确定存在的冲突行为；

第三数据结果包括：

疑代理用户，用于表示用户终端可能启用了代理的用户；

恒代理用户，用户表示用户终端确定启用了代理的用户。

在本发明的一个较佳实施例中，步骤S1具体包括：

步骤S11，获取第一时间周期内的网络数据；

步骤S12，根据TCP/IP协议对网络数据进行应用层数据的深度分析，并通过对常见应用程序所使用的应用层端口和特征报文来确定用户终端在第一时间周期内的进行的网络行为；

步骤S13，将用户终端在第一时间周期内进行的网络行为输出为第一数据结果。

在本发明的一个较佳实施例中，步骤S2具体包括：

步骤S21，判断第一数据结果中包括的网络行为是否符合预先设置的第一预设条件，并将符合第一预设条件的网络行为标记为疑冲突行为；

步骤S22，判断每个疑冲突行为的冲突持续时间是否超过一预设时间，并将超过预设时间的疑冲突行为更改标记为恒冲突行为；

步骤S23，将疑冲突行为和恒冲突行为输出为第二数据结果。

在本发明的一个较佳实施例中，步骤3具体包括：

步骤S31，根据预先设置的第二预设条件，对第二数据结果中的疑冲突行为和恒冲突行为分别赋予相应的分值；

步骤S32，统计第二数据结果中的疑冲突行为和恒冲突行为的分值之和，并比较是否大于预设阈值，若是，则将用户终端标记为恒代理用户，若否，则将用户终端标记为疑代理用户；

步骤S33，将恒代理用户或疑代理用户输出为第三数据结果。

一种代理上网的识别系统，其中采用了如上所述的代理上网的识别方法，还包括：

采集模块1，用于获取用户终端上网时在第一时间周期内所有的网络数据；

存储模块2，连接采集模块1，用于存储采集模块1采集到的网络数据；

识别模块3，连接存储模块2，识别模块3对网络数据进行分析，处理得到用户终端的所有网络行为并输出为第一数据结果，将第一数据结果存储于存储模块2中；

分析模块4，连接存储模块2，根据第一数据结果，检测识别第一时间周期内网络行为中的冲突行为并输出为第二数据结果；

判定模块5，分别连接分析模块4与存储模块2，根据第二数据结果确定用户终端是否为代理其他用户终端上网的用户终端，并处理得到第三数据结果；

第二数据结果包括：

疑冲突行为，用于表示用户终端的众多的网络行为中可能存在冲突行为；

恒冲突行为，用于表示用户终端的众多的网络行为中确定存在冲突行为；

第三数据结果包括：

疑代理用户，用于表示用户终端可能启用了代理的用户；

恒代理用户，用户表示用户终端确定启用了代理的用户。

在本发明的一个具体实施例中，本申请文件中所指的用户终端的网络行为是指用户的各种上网行为，比如：观看视频，听音乐，观看新闻资讯，浏览网络图书，玩网络游戏等。在一个用户终端正常上网过程中，网络行为之间是存在冲突的，例如，观看视频，观看新闻资讯或浏览网络图书等过程中，是无法同时玩网络游戏的，而各种网络行为中，也存在内部的冲突性，比如，正常的观看视频的用户终端不会长时间同时观看腾讯视频、爱奇艺视频和优酷视频，正常的听音乐的用户终端不会在长时间既听QQ音乐又听酷我音乐。根据这个原理，当代理上网识别系统检测到同一个网络用户终端存在上述冲突的网络行为时，可以将这个网络行为标记为疑冲突行为，随后对上述疑冲突行为进行筛选，如果疑冲突行为持续时间超过一预定的时间，那么就将该疑冲突行为标记为恒冲突行为，确定了恒冲突行为以后，通过行为分析将这些恒冲突行为所对应的用户终端确定为疑代理用户终端和恒代理用户终端，最后通过单利判定算法来确定最终哪些用户终端启用了代理。

在本发明的一个较佳实施例中，识别模块具体包括：

调取单元，用于获取存储单元中第一时间周期内的网络数据；

分析单元，连接调取单元，根据TCP/IP协议对网络数据进行应用层数据的深度分析，并通过对常见应用程序所使用的应用层端口和特征报文来确定用户终端在第一时间周期内的进行的网络行为；

第一输出单元，连接分析单元，将用户终端在第一时间周期内进行的网络行为输出为第一数据结果，并将第一数据结果存储于存储模块中。

在本发明的一个具体实施例中，第一数据结果用于表示第一时间周期内用户终端的所有网络行为。

在本发明的一个较佳实施例中，分析模块具体包括：

检测单元，用于判断第一数据结果中包括的网络行为是否符合预先设置的第一预设条件，并将符合第一预设条件的网络行为标记为疑冲突行为；

判断单元，连接检测单元，用于判断每个疑冲突行为的冲突持续时间是否超过一预设时间，并将超过预设时间的疑冲突行为更改标记为恒冲突行为；

第二输出单元，连接判断单元，将疑冲突行为和恒冲突行为输出为第二数据结果。

在本发明的一个具体实施例中，预先设置的第一预设条件就是指根据人们的日常生活常识，设定出不可能同时存在的网络行为标准，比如：预先设置同一时间观看视频与玩网络游戏为冲突网络行为，同时时间观看视频与浏览网络图书为冲突网络行为，同一时间观看腾讯视频与观看爱奇艺视频为冲突网络行为等，根据这些预先设定的规则，来判断检测出疑冲突网络行为。检测出疑冲突网络行为后再根据网络行为的冲突持续时间，来筛选出恒冲突网络行为。

在本发明的一个较佳实施例中，判定模块具体包括：

打分单元，根据预先设置的第二预设条件，对第二数据结果中的疑冲突行为和恒冲突行为分别赋予相应的分值；

统计单元，连接打分单元，统计第二数据结果中的疑冲突行为和恒冲突行为的分值之和，并比较是否大于预设分值，若是，则将用户终端标记为恒代理用户，若否，则将用户终端标记为疑代理用户；

第三输出单元，连接统计单元，将恒代理用户或疑代理用户输出为第三数据结果。

在本发明的一个具体实施例中，根据预先设定的规则分别为疑冲突行为和恒冲突行为赋予相对应的分值，例如，为每个疑冲突行为赋予1分，为每个恒冲突行为赋予10分，然后统计一定周期时间内的该用户终端的分值之和，如果该用户终端累计的分值超过了一个预定的阈值，那么就为该用户终端打上恒代理用户的标签，对于没有达到预定阈值的用户终端，则打上疑代理用户的标签然后存入数据库，用作历史分析的依据。

上述技术方案的有益效果在于：

提供一种代理上网的识别方法及系统，通过深度分析用户的行为数据来进行代理识别，该基于用户行为数据的分析方法不会因为用户代理手段的变化而产生适配性的问题，从根本上解决了现有技术中因代理手段变化而导致现有防代理方案无法识别或者识别准确率低的问题，在提高代理上网识别准确率的同时又不会对网络应用带来制约，对解决代理检测的问题具有更加稳点、可靠、准确的效果。

以上仅为本发明较佳的实施例，并非因此限制本发明的实施方式及保护范围，对于本领域技术人员而言，应当能够意识到凡运用本发明说明书及图示内容所作出的等同替换和显而易见的变化所得到的方案，均应当包含在本发明的保护范围内。

Claims (8)

1.一种代理上网的识别方法，其特征在于，包括：

步骤S1，获取用户终端上网时在第一时间周期内所有的网络数据，并对所述网络数据进行分析，处理得到所述用户终端的所有网络行为并输出为第一数据结果；

步骤S2，根据所述第一数据结果，检测识别所述第一时间周期内的所有所述网络行为中的冲突行为并输出为第二数据结果；

步骤S3，根据所述第二数据结果确定所述用户终端是否为代理其他用户终端上网的用户终端，并处理得到第三数据结果；

所述第二数据结果包括：

疑冲突行为，用于表示所述用户终端的众多的所述网络行为中可能存在的冲突行为；

恒冲突行为，用于表示所述用户终端的众多的所述网络行为中确定存在的冲突行为；

所述第三数据结果包括：

疑代理用户，用于表示所述用户终端可能启用了代理的用户；

恒代理用户，用户表示所述用户终端确定启用了代理的用户。

2.根据权利要求1所述的一种代理上网的识别方法，其特征在于，所述步骤S1具体包括：

步骤S11，获取所述第一时间周期内的所述网络数据；

步骤S12，根据TCP/IP协议对所述网络数据进行应用层数据的深度分析，并通过对常见应用程序所使用的应用层端口和特征报文来确定所述用户终端在所述第一时间周期内的进行的所述网络行为；

步骤S13，将所述用户终端在所述第一时间周期内进行的网络行为输出为第一数据结果。

3.根据权利要求1所述的一种代理上网的识别方法，其特征在于，所述步骤S2具体包括：

步骤S21，判断所述第一数据结果中包括的所述网络行为是否符合预先设置的第一预设条件，并将符合所述第一预设条件的所述网络行为标记为所述疑冲突行为；

步骤S22，判断每个所述疑冲突行为的冲突持续时间是否超过一预设时间，并将超过所述预设时间的所述疑冲突行为更改标记为所述恒冲突行为；

步骤S23，将所述疑冲突行为和所述恒冲突行为输出为所述第二数据结果。

4.根据权利要求1所述的一种代理上网的识别方法，其特征在于，所述步骤3具体包括：

步骤S31，根据预先设置的第二预设条件，对所述第二数据结果中的所述疑冲突行为和所述恒冲突行为分别赋予相应的分值；

步骤S32，统计所述第二数据结果中的所述疑冲突行为和所述恒冲突行为的分值之和，并比较是否大于预设阈值，若是，则将所述用户终端标记为恒代理用户，若否，则将所述用户终端标记为疑代理用户；

步骤S33，将所述恒代理用户或所述疑代理用户输出为第三数据结果。

5.一种代理上网的识别系统，其特征在于，采用了如权利要求1-4任意一项所述的代理上网的识别方法，还包括：

采集模块，用于获取用户终端上网时在第一时间周期内所有的网络数据；

存储模块，连接所述采集模块，用于存储所述采集模块采集到的所述网络数据；

识别模块，连接所述存储模块，所述识别模块对所述网络数据进行分析，处理得到所述用户终端的所有网络行为并输出为第一数据结果，将所述第一数据结果存储于所述存储模块中；

分析模块，连接所述存储模块，根据所述第一数据结果，检测识别所述第一时间周期内所述网络行为中的冲突行为并输出为第二数据结果；

判定模块，分别连接所述分析模块与所述存储模块，根据所述第二数据结果确定所述用户终端是否为代理其他用户终端上网的用户终端，并处理得到第三数据结果；

所述第二数据结果包括：

疑冲突行为，用于表示所述用户终端的众多的所述网络行为中可能存在冲突行为；

恒冲突行为，用于表示所述用户终端的众多的所述网络行为中确定存在冲突行为；

所述第三数据结果包括：

疑代理用户，用于表示所述用户终端可能启用了代理的用户；

恒代理用户，用户表示所述用户终端确定启用了代理的用户。

6.根据权利要求5所述的一种代理上网识别系统，其特征在于，所述识别模块具体包括：

调取单元，用于获取所述存储单元中所述第一时间周期内的所述网络数据；

分析单元，连接所述调取单元，根据TCP/IP协议对所述网络数据进行应用层数据的深度分析，并通过对常见应用程序所使用的应用层端口和特征报文来确定所述用户终端在所述第一时间周期内的进行的所述网络行为；

第一输出单元，连接所述分析单元，将所述用户终端在所述第一时间周期内进行的网络行为输出为第一数据结果，并将所述第一数据结果存储于所述存储模块中。

7.根据权利要求5所述的一种代理上网识别系统，其特征在于，所述分析模块具体包括：

检测单元，用于判断所述第一数据结果中包括的所述网络行为是否符合预先设置的第一预设条件，并将符合所述第一预设条件的所述网络行为标记为所述疑冲突行为；

判断单元，连接所述检测单元，用于判断每个所述疑冲突行为的冲突持续时间是否超过一预设时间，并将超过所述预设时间的所述疑冲突行为更改标记为所述恒冲突行为；

第二输出单元，连接所述判断单元，将所述疑冲突行为和所述恒冲突行为输出为所述第二数据结果。

8.根据权利要求5所述的一种代理上网识别系统，其特征在于，所述判定模块具体包括：

打分单元，根据预先设置的第二预设条件，对所述第二数据结果中的所述疑冲突行为和所述恒冲突行为分别赋予相应的分值；

统计单元，连接所述打分单元，统计所述第二数据结果中的所述疑冲突行为和所述恒冲突行为的分值之和，并比较是否大于预设分值，若是，则将所述用户终端标记为恒代理用户，若否，则将所述用户终端标记为疑代理用户；

第三输出单元，连接所述统计单元，将所述恒代理用户或所述疑代理用户输出为第三数据结果。