CN112532616A - 网络应用的特征分析方法及装置 - Google Patents
网络应用的特征分析方法及装置 Download PDFInfo
- Publication number
- CN112532616A CN112532616A CN202011348594.7A CN202011348594A CN112532616A CN 112532616 A CN112532616 A CN 112532616A CN 202011348594 A CN202011348594 A CN 202011348594A CN 112532616 A CN112532616 A CN 112532616A
- Authority
- CN
- China
- Prior art keywords
- network
- information
- connection
- network application
- application
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000004458 analytical method Methods 0.000 title claims abstract description 42
- 238000000034 method Methods 0.000 claims abstract description 53
- 238000012216 screening Methods 0.000 claims abstract description 15
- 238000001914 filtration Methods 0.000 claims abstract description 8
- 238000000605 extraction Methods 0.000 claims description 15
- 238000005516 engineering process Methods 0.000 claims description 2
- 238000012544 monitoring process Methods 0.000 claims description 2
- 102100026278 Cysteine sulfinic acid decarboxylase Human genes 0.000 description 16
- 108010064775 protein C activator peptide Proteins 0.000 description 16
- 238000012545 processing Methods 0.000 description 12
- 230000008569 process Effects 0.000 description 10
- 238000010586 diagram Methods 0.000 description 8
- 230000006870 function Effects 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 238000004590 computer program Methods 0.000 description 2
- 239000013307 optical fiber Substances 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 238000003491 array Methods 0.000 description 1
- 238000012512 characterization method Methods 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000003252 repetitive effect Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/22—Parsing or analysis of headers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
- H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本公开涉及一种网络应用的特征分析方法、装置、电子设备及计算机可读介质。该方法包括：在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；获取所述终端的网络流量信息；基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。本公开涉及的网络应用的特征分析方法、装置，能够自动精准地获取目标应用的网络流量，极大的减少过滤非目标应用报文的工作量，明显提高网络应用特征分析的效率。
Description
技术领域
本公开涉及计算机信息处理领域，具体而言，涉及一种网络应用的特征分析方法、装置、电子设备及计算机可读介质。
背景技术
互联网发展日新月异，网络应用或APP也推陈出新，应用在各种各样的环境中，为生活和工作提供了极大的便利，同时也带来需要对网络应用合理使用进行管理的现实需求，这就需要首先能够识别应用而进行特征分析，这就需要抓取网络应用连接的PCAP报文进行特征分析。
为分析网络应用的特征，需要在终端(如PC)安装对应的网络应用(例如微信)，在使用目标应用的各种功能的过程中，使用抓包工具(例如Wireshark)抓取应用的所有报文，然后进行特征分析和提取。但是考虑到PC一般都会安装很多其他的应用程序或网络中本身有其他网络流量，这样使用Wireshark抓报文时会混杂其他很多无效的流量，无法区分目标应用的流量。
当前通常使用的方法是在新安装的操作系统上，只安装需要分析的网络应用，然后在使用的过程中进行报文抓取，此方法能够一定程度上减少非目标应用的流量，但是无法完全筛选出目标应用的流量，因为抓包工具工作时，进入的是混杂模式，这样PC和网络中广播的流量都能够抓到，对应用的特征分析带来不必要的困扰。
因此，需要一种新的网络应用的特征分析方法、装置、电子设备及计算机可读介质。
在所述背景技术部分公开的上述信息仅用于加强对本公开的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
有鉴于此，本公开提供一种网络应用的特征分析方法、装置、电子设备及计算机可读介质，能够自动精准地获取目标应用的网络流量，极大的减少过滤非目标应用报文的工作量，明显提高网络应用特征分析的效率。
本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
根据本公开的一方面，提出一种网络应用的特征分析方法，该方法包括：在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；获取所述终端的网络流量信息；基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
在本公开的一种示例性实施例中，获取所述终端的所有网络连接信息，包括：通过Netstat技术对所述终端的连接信息进行监听，以生成网络连接信息。
在本公开的一种示例性实施例中，由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征，还包括：基于所述网络连接信息和所述至少一个网络应用的连接特征确定至少一个信息提取方式；基于网络应用对应的信息提取方式对所述网络连接信息进行提取以生成所述网络应用对应的连接特征。
在本公开的一种示例性实施例中，基于网络应用对应的信息提取方式对所述网络连接信息进行提取以生成所述网络应用对应的连接特征，包括：逐行读取所述网络连接信息中每一行的信息；基于网络应用对应的信息提取方式判断每一行的信息是否属于所述网络应用；在所述信息属于所述网络应用时，提取所述连接特征。
在本公开的一种示例性实施例中，在所述信息属于所述网络应用时，提取所述连接特征，包括：在本行的信息为TCP或UDP连接时，临时保存所述连接信息；在下一行的信息为应用名称时，且所述名称符合所述信息提取方式时，将所述TCP或UDP作为所述连接特征。
在本公开的一种示例性实施例中，获取所述终端的网络流量信息，包括：通过抓包工具获取所述终端的网络流量信息，并按照预设格式保存。
在本公开的一种示例性实施例中，通过抓包工具获取所述终端的网络流量信息，并按照预设格式保存，还包括：将所述预设格式的文件按照指定文件大小和命名顺序进行保存。
在本公开的一种示例性实施例中，基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，包括：逐项遍历所述预设格式保存的网络流量信息；由所述网络流量信息中提取多个报文；逐一将多个报文中的每一个报文的特征和所述至少一个网络应用对应的连接特征进行匹配；在匹配一致时，将报文存储在所述网络应用对应的特征报文集合中。
在本公开的一种示例性实施例中，由所述网络流量信息中提取多个报文，包括：根据所述预设格式的报文结构由所述网络流量信息中提取多个报文。
在本公开的一种示例性实施例中，逐一将多个报文中的每一个报文的特征和所述至少一个网络应用对应的连接特征进行匹配，包括：逐一将多个报文中的每一个报文的五元组信息和所述至少一个网络应用对应的连接特征进行匹配。
根据本公开的一方面，提出一种网络应用的特征分析装置，该装置包括：连接模块，用于在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；特征模块，用于由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；流量模块，用于获取所述终端的网络流量信息；筛选模块，用于基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；分析模块，用于基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
根据本公开的一方面，提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上文的方法。
根据本公开的一方面，提出一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如上文中的方法。
根据本公开的网络应用的特征分析方法、装置、电子设备及计算机可读介质，在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；获取所述终端的网络流量信息；基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析的方式，能够自动精准地获取目标应用的网络流量，极大的减少过滤非目标应用报文的工作量，明显提高网络应用特征分析的效率。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本公开。
附图说明
通过参照附图详细描述其示例实施例，本公开的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本公开的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是根据一示例性实施例示出的一种网络应用的特征分析方法的流程图。
图2是根据一示例性实施例示出的一种网络应用的特征分析方法的流程图。
图3是根据另一示例性实施例示出的一种网络应用的特征分析方法的流程图。
图4是根据一示例性实施例示出的一种网络应用的特征分析装置的框图。
图5是根据一示例性实施例示出的一种电子设备的框图。
图6是根据一示例性实施例示出的一种计算机可读介质的框图。
具体实施方式
现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本公开将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。
此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。
附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。
应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本公开概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。
本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本公开所必须的，因此不能用于限制本公开的保护范围。
本公开涉及的技术缩略语解释如下：
网络连接：终端或服务器等网络设备开发服务，由本身或外界网元访问的连接信息。一般操作系统都支持通过Netstat查看当前的网络连接信息，能够显示所有网络应用的五元组信息，连接状态和网络应用名称等信息。
PCAP文件：PCAP文件是常用的数据报存储格式，可以理解为就是一种文件格式，只不过里面的数据是按照特定格式存储的，所以我们想要解析里面的数据，也必须按照一定的格式。用Wireshark抓包工具可以正常打开这种文件，查看里面的网络数据报，同时Wireshark也可以生成这种格式的文件。
PCAP文件的格式为：
文件头24字节
数据报头+数据报数据包头为16字节，后面紧跟数据报
数据报头+数据报…
PCAP.h里定义了文件头的格式
PCAP文件的文件头字段为：
struct PCAP_file_header
{bpf_u_int32 magic；
u_short version_major；
u_short version_minor；
bpf_int32 thiszone；
bpf_u_int32 sigfigs；
bpf_u_int32 snaplen；
bpf_u_int32 linktype；}
说明：
1、标识位：32位的，这个标识位的值是16进制的0xa1b2c3d4。
2、主版本号：16位，默认值为0x2。
3、副版本号：16位，默认值为0x04。
4、区域时间：32位，实际上该值并未使用，因此可以将该位设置为0。
5、精确时间戳：32位，实际上该值并未使用，因此可以将该值设置为0。
6、数据包最大长度：32位，该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535；例如：想获取数据包的前64字节，可将该值设置为64。
7、链路层类型：32位，数据包的链路层包头决定了链路层的类型。
packet数据包头：
struct PCAP_pkthdr
{struct tim ts；
DWORD caplen；
DWORD len；}
struct tim
{DWORD GMTtime；
DWORD microTime；}
1、时间戳，包括：
秒计时：32位，一个UNIX格式的精确到秒时间值，用来记录数据包抓获的时间，记录方式是记录从格林尼治时间的1970年1月1日00:00:00
到抓包时经过的秒数；微秒计时：32位，抓取数据包时的微秒值。
2、数据包长度：32位，标识所抓获的数据包保存在PCAP文件中的实际长度，以字节为单位。
3、数据包实际长度：所抓获的数据包的真实长度，如果文件中保存不是完整的数据包，那么这个值可能要比前面的数据包长度的值大。
本公开提供一种自动获取网络应用连接报文的方法和装置，自动精准地获取目标应用的网络流量，极大的提高特征分析的效率。
本装置可运行在安装目标应用的终端上，当目标应用使用的过程中，主要进行如下三个方面的动作：
自动记录终端所有的网络连接，当目标应用使用结束后，自动筛选出目标应用的所有连接信息并保持下来，为后续处理做准备。
调用抓包工具，自动抓取终端的所有上网流量，并自动保存到磁盘。
根据目标应用的连接信息(例如五元组信息)，在PCAP报文中筛选目标应用的报文，然后保持到指定的PCAP文件中。下面借助于具体的实施例来对本公开的内容进行详细描述。
图1是根据一示例性实施例示出的一种网络应用的特征分析方法的流程图。网络应用的特征分析方法10至少包括步骤S102至S110。
如图2所示，在S102中，在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息。可例如，通过Netstat技术对所述终端的连接信息进行监听，以生成网络连接信息。一般网络连接支持通过Netstat查看信息，能够获取到具体网络应用和相应的五元组信息。
在一个实施例中，考虑到目标应用的有些连接可能会在很短的时间内结束，所有使用Netstat等方式获取目标应用的连接信息时，需要注意获取周期的时间间隔尽量小，比如1秒。
在S104中，由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征。可例如，基于所述网络连接信息和所述至少一个网络应用的连接特征确定至少一个信息提取方式；基于网络应用对应的信息提取方式对所述网络连接信息进行提取以生成所述网络应用对应的连接特征。
在S106中，获取所述终端的网络流量信息。通过抓包工具获取所述终端的网络流量信息，并按照预设格式保存。可调用抓包工具(例如Wireshark)，自动抓取终端的所有上网流量，并自动以指定大小的文件(例如500M)保持到磁盘的文件夹，保存为PCAP格式的文件。
在一个实施例中，还包括：将所述预设格式的文件按照指定文件大小和命名顺序进行保存。
在S108中，基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用。可例如，逐项遍历所述预设格式保存的网络流量信息；由所述网络流量信息中提取多个报文；逐一将多个报文中的每一个报文的特征和所述至少一个网络应用对应的连接特征进行匹配；在匹配一致时，将报文存储在所述网络应用对应的特征报文集合中。
在S110中，基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
根据本公开的网络应用的特征分析方法，在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；获取所述终端的网络流量信息；基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析的方式，能够自动精准地获取目标应用的网络流量，极大的减少过滤非目标应用报文的工作量，明显提高网络应用特征分析的效率。
应清楚地理解，本公开描述了如何形成和使用特定示例，但本公开的原理不限于这些示例的任何细节。相反，基于本公开公开的内容的教导，这些原理能够应用于许多其它实施例。
图2是根据一示例性实施例示出的一种网络应用的特征分析方法的流程图。网络应用的特征分析方法20是对图1所示的流程中S104“由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征”的详细描述。
如图2所示，在S202中，基于所述网络连接信息和所述至少一个网络应用的连接特征确定至少一个信息提取方式。
在S204中，逐行读取所述网络连接信息中每一行的信息。
在S206中，基于网络应用对应的信息提取方式判断每一行的信息是否属于所述网络应用。可例如，在本行的信息为TCP或UDP连接时，临时保存所述连接信息；在下一行的信息为应用名称时，且所述名称符合所述信息提取方式时，将所述TCP或UDP作为所述连接特征。
在S208中，在所述信息属于所述网络应用时，提取所述连接特征。
例如welink应用的连接信息：
基于连接信息可知，应用名称在其连接信息的下一行，则装置读取目标应用连接文件的每一行信息。如果当前连接信息为空则直接处理下一行，如果连接信息为具体的TCP或UDP连接，则临时保存此行连接信息到list列表中，并继续处理下一行；如果读取的连接信息为具体的应用名称，则判断是否为目标应用；如果为目标应用，则从保存的list中获取目标应用连接的五元组信息并保存到字典中，然后置空list列表；如果非目标应用则继续处理下一行信息。
图3是根据另一示例性实施例示出的一种网络应用的特征分析方法的流程图。图3所示的流程30是对图1所示的流程中S108“基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合”的详细描述。
如图3所示，在S302中，逐项遍历所述预设格式保存的网络流量信息。
在S304中，由所述网络流量信息中提取多个报文。可例如，根据所述预设格式的报文结构由所述网络流量信息中提取多个报文。
在S306中，逐一将多个报文中的每一个报文的特征和所述至少一个网络应用对应的连接特征进行匹配。可例如，逐一将多个报文中的每一个报文的五元组信息和所述至少一个网络应用对应的连接特征进行匹配。
在S308中，在匹配一致时，将报文存储在所述网络应用对应的特征报文集合中。
调用抓包工具(例如Wireshark)，自动抓取终端的所有上网流量，并自动以指定大小的文件(例如500M)保持到磁盘的文件夹，保存为PCAP格式的文件。例如如下的调用抓包方式：
def my():
#-P参数保证保持的报文是PCAP格式
subprocess.Popen("C:/Program Files(x86)/Wireshark/dumPCAP.exe-i 4-P-s0-b filesize:100000-w D:/python/packet/out.PCAP")
threading.Thread(target＝my).start()
逐项遍历处理PCAP文件，读取单个文件内容后，根据PCAP报文结构特点(文件头+数据报头+数据报+数据报头+数据报…),逐个遍历目标应用的数据报文。根据PCAP文件结构，每次处理不同的文件时，需要跳过文件头的24字节，然后根据数据包头里的长度信息区分不同报文，从而根据报文中的五元组信息(协议、源目IP、源目端口)与获取的目标应用的连接信息进行匹配，如果两者匹配则保存此报文，然后继续处理下一个报文或下一个文件，如果不匹配则直接继续处理下一个报文或下一个文件。
经过上述过程的处理，目标应用所有连接的报文都保存在一个文件中，这样保存的报文中不会包含其他混杂的流量，能够保证分析目标应用的特征分析既准确又高效，在相同的工作时间内，分析目标应用特征的数量也就更多，有效提高工作效率。
本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本公开提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。
此外，需要注意的是，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。
下述为本公开装置实施例，可以用于执行本公开方法实施例。对于本公开装置实施例中未披露的细节，请参照本公开方法实施例。
图4是根据一示例性实施例示出的一种网络应用的特征分析装置的框图。如图4所示，网络应用的特征分析装置40包括：连接模块402，特征模块404，流量模块406，筛选模块408，分析模块410。
连接模块402用于在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；
特征模块404用于由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；
流量模块406用于获取所述终端的网络流量信息；
筛选模块408用于基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；
分析模块410用于基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
根据本公开的网络应用的特征分析装置，在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；获取所述终端的网络流量信息；基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析的方式，能够自动精准地获取目标应用的网络流量，极大的减少过滤非目标应用报文的工作量，明显提高网络应用特征分析的效率。
图5是根据一示例性实施例示出的一种电子设备的框图。
下面参照图5来描述根据本公开的这种实施方式的电子设备500。图5显示的电子设备500仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图5所示，电子设备500以通用计算设备的形式表现。电子设备500的组件可以包括但不限于：至少一个处理单元510、至少一个存储单元520、连接不同系统组件(包括存储单元520和处理单元510)的总线530、显示单元540等。
其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元510执行，使得所述处理单元510执行本说明书中描述的根据本公开各种示例性实施方式的步骤。例如，所述处理单元510可以执行如图1，图2，图3中所示的步骤。
所述存储单元520可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)5201和/或高速缓存存储单元5202，还可以进一步包括只读存储单元(ROM)5203。
所述存储单元520还可以包括具有一组(至少一个)程序模块5205的程序/实用工具5204，这样的程序模块5205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线530可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备500也可以与一个或多个外部设备500’(例如键盘、指向设备、蓝牙设备等)通信，使得用户能与该电子设备500交互的设备通信，和/或该电子设备500能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口550进行。并且，电子设备500还可以通过网络适配器560与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器560可以通过总线530与电子设备500的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备500使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，如图6所示，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本公开实施方式的上述方法。
所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；获取所述终端的网络流量信息；基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施例的方法。
以上具体地示出和描述了本公开的示例性实施例。应可理解的是，本公开不限于这里描述的详细结构、设置方式或实现方法；相反，本公开意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。
Claims (11)
1.一种网络应用的特征分析方法，其特征在于，包括：
在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；
由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；
获取所述终端的网络流量信息；
基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；
基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
2.如权利要求1所述的方法，其特征在于，获取所述终端的所有网络连接信息，包括：
通过Netstat技术对所述终端的连接信息进行监听，以生成网络连接信息。
3.如权利要求1所述的方法，其特征在于，由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征，包括：
基于所述网络连接信息和所述至少一个网络应用的连接特征确定至少一个信息提取方式；
基于网络应用对应的信息提取方式对所述网络连接信息进行提取以生成所述网络应用对应的连接特征。
4.如权利要求3所述的方法，其特征在于，基于网络应用对应的信息提取方式对所述网络连接信息进行提取以生成所述网络应用对应的连接特征，包括：
逐行读取所述网络连接信息中每一行的信息；
基于网络应用对应的信息提取方式判断每一行的信息是否属于所述网络应用；
在所述信息属于所述网络应用时，提取所述连接特征。
5.如权利要求4所述的方法，其特征在于，在所述信息属于所述网络应用时，提取所述连接特征，包括：
在本行的信息为TCP或UDP连接时，临时保存所述连接信息；
在下一行的信息为应用名称时，且所述名称符合所述信息提取方式时，将所述TCP或UDP作为所述连接特征。
6.如权利要求1所述的方法，其特征在于，获取所述终端的网络流量信息，包括：
通过抓包工具获取所述终端的网络流量信息，并按照预设格式保存。
7.如权利要求6所述的方法，其特征在于，通过抓包工具获取所述终端的网络流量信息，并按照预设格式保存，还包括：
将所述预设格式的文件按照指定文件大小和命名顺序进行保存。
8.如权利要求6所述的方法，其特征在于，基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，包括：
逐项遍历所述预设格式保存的网络流量信息；
由所述网络流量信息中提取多个报文；
逐一将多个报文中的每一个报文的特征和所述至少一个网络应用对应的连接特征进行匹配；
在匹配一致时，将报文存储在所述网络应用对应的特征报文集合中。
9.如权利要求8所述的方法，其特征在于，由所述网络流量信息中提取多个报文，包括：
根据所述预设格式的报文结构由所述网络流量信息中提取多个报文。
10.如权利要求8所述的方法，其特征在于，逐一将多个报文中的每一个报文的特征和所述至少一个网络应用对应的连接特征进行匹配，包括：
逐一将多个报文中的每一个报文的五元组信息和所述至少一个网络应用对应的连接特征进行匹配。
11.一种网络应用的特征分析装置，其特征在于，包括：
连接模块，用于在终端中的至少一个网络应用运行状态下，获取所述终端的所有网络连接信息；
特征模块，用于由所述网络连接信息中提取所述至少一个网络应用的对应的连接特征；
流量模块，用于获取所述终端的网络流量信息；
筛选模块，用于基于所述至少一个网络应用对应的连接特征在所述网络流量信息中进行筛选以生成至少一个特征报文集合，每个特征报文集合对应一个网络应用；
分析模块，用于基于所述至少一个特征报文集合对所述至少一个网络应用进行特征分析。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011348594.7A CN112532616A (zh) | 2020-11-26 | 2020-11-26 | 网络应用的特征分析方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011348594.7A CN112532616A (zh) | 2020-11-26 | 2020-11-26 | 网络应用的特征分析方法及装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN112532616A true CN112532616A (zh) | 2021-03-19 |
Family
ID=74993676
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202011348594.7A Pending CN112532616A (zh) | 2020-11-26 | 2020-11-26 | 网络应用的特征分析方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112532616A (zh) |
Citations (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20160149792A1 (en) * | 2014-11-25 | 2016-05-26 | Fortinet, Inc. | Application control |
| CN106101015A (zh) * | 2016-07-19 | 2016-11-09 | 广东药科大学 | 一种移动互联网流量类别标记方法和系统 |
| CN106878074A (zh) * | 2017-02-17 | 2017-06-20 | 杭州迪普科技股份有限公司 | 流量过滤方法及装置 |
| CN107181736A (zh) * | 2017-04-21 | 2017-09-19 | 湖北微源卓越科技有限公司 | 基于7层应用的网络数据包分类方法及系统 |
| US9853876B1 (en) * | 2014-06-13 | 2017-12-26 | Narus, Inc. | Mobile application identification in network traffic via a search engine approach |
| CN109600317A (zh) * | 2018-11-25 | 2019-04-09 | 北京亚鸿世纪科技发展有限公司 | 一种自动识别流量并提取应用规则的方法及装置 |
| CN109995605A (zh) * | 2018-01-02 | 2019-07-09 | 中国移动通信有限公司研究院 | 一种流量识别方法及装置、以及计算机可读存储介质 |
| CN111224894A (zh) * | 2019-12-30 | 2020-06-02 | 中国人民解放军国防科技大学 | 一种针对iOS设备的流量采集标记方法及系统 |
| CN111222547A (zh) * | 2019-12-30 | 2020-06-02 | 中国人民解放军国防科技大学 | 一种面向移动应用的流量特征提取方法及系统 |
| CN111371649A (zh) * | 2020-03-03 | 2020-07-03 | 恒为科技（上海）股份有限公司 | 一种深度包检测方法及装置 |
| CN111740923A (zh) * | 2020-06-22 | 2020-10-02 | 北京神州泰岳智能数据技术有限公司 | 应用识别规则的生成方法、装置、电子设备和存储介质 |
| CN111917665A (zh) * | 2020-07-23 | 2020-11-10 | 华中科技大学 | 一种终端应用数据流识别方法及系统 |
-
2020
- 2020-11-26 CN CN202011348594.7A patent/CN112532616A/zh active Pending
Patent Citations (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9853876B1 (en) * | 2014-06-13 | 2017-12-26 | Narus, Inc. | Mobile application identification in network traffic via a search engine approach |
| US20160149792A1 (en) * | 2014-11-25 | 2016-05-26 | Fortinet, Inc. | Application control |
| CN106101015A (zh) * | 2016-07-19 | 2016-11-09 | 广东药科大学 | 一种移动互联网流量类别标记方法和系统 |
| CN106878074A (zh) * | 2017-02-17 | 2017-06-20 | 杭州迪普科技股份有限公司 | 流量过滤方法及装置 |
| CN107181736A (zh) * | 2017-04-21 | 2017-09-19 | 湖北微源卓越科技有限公司 | 基于7层应用的网络数据包分类方法及系统 |
| CN109995605A (zh) * | 2018-01-02 | 2019-07-09 | 中国移动通信有限公司研究院 | 一种流量识别方法及装置、以及计算机可读存储介质 |
| CN109600317A (zh) * | 2018-11-25 | 2019-04-09 | 北京亚鸿世纪科技发展有限公司 | 一种自动识别流量并提取应用规则的方法及装置 |
| CN111224894A (zh) * | 2019-12-30 | 2020-06-02 | 中国人民解放军国防科技大学 | 一种针对iOS设备的流量采集标记方法及系统 |
| CN111222547A (zh) * | 2019-12-30 | 2020-06-02 | 中国人民解放军国防科技大学 | 一种面向移动应用的流量特征提取方法及系统 |
| CN111371649A (zh) * | 2020-03-03 | 2020-07-03 | 恒为科技（上海）股份有限公司 | 一种深度包检测方法及装置 |
| CN111740923A (zh) * | 2020-06-22 | 2020-10-02 | 北京神州泰岳智能数据技术有限公司 | 应用识别规则的生成方法、装置、电子设备和存储介质 |
| CN111917665A (zh) * | 2020-07-23 | 2020-11-10 | 华中科技大学 | 一种终端应用数据流识别方法及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Plonka | {FlowScan}: A Network Traffic Flow Reporting and Visualization Tool | |
| CN109327357B (zh) | 应用软件的特征提取方法、装置及电子设备 | |
| Inacio et al. | {YAF}: Yet another flowmeter | |
| US20120254309A1 (en) | Information processing apparatus and method, electronic device and control method thereof, and log collection system | |
| CN111131320B (zh) | 资产识别方法、装置、系统和介质 | |
| US20130031265A1 (en) | System and method for heuristic determination of network protocols | |
| CN101902484A (zh) | 局域网http应用业务分类方法及系统 | |
| CN112333044B (zh) | 分流设备性能测试方法、装置、系统、电子设备以及介质 | |
| CN112511383A (zh) | 网络流量监测方法及装置 | |
| CN111565127B (zh) | 用于网络地址转换的测试方法、系统、设备及介质 | |
| CN111224894A (zh) | 一种针对iOS设备的流量采集标记方法及系统 | |
| CN114285764A (zh) | 一种抓包方法和装置、以及存储介质 | |
| RU2668394C2 (ru) | Способ и система для сбора пакетов, сетевое устройство и центр управления сетью | |
| CN112887289B (zh) | 一种网络数据处理方法、装置、计算机设备及存储介质 | |
| WO2024037024A1 (zh) | 一种基于用户内容的遥测方法及系统 | |
| CN112532616A (zh) | 网络应用的特征分析方法及装置 | |
| CN112688924A (zh) | 网络协议分析系统 | |
| CN110995538B (zh) | 网络数据采集方法、装置、系统、设备及存储介质 | |
| WO2023082605A1 (zh) | Http报文的提取方法、装置、介质及设备 | |
| CN111245880B (zh) | 基于行为轨迹重建的用户体验监控方法及装置 | |
| CN116346649A (zh) | 负载均衡设备的虚服务抓包方法及装置 | |
| CN111565311B (zh) | 网络流量特征生成方法及装置 | |
| CN114143079B (zh) | 包过滤策略的验证装置及方法 | |
| CN112640392B (zh) | 一种木马检测方法、装置和设备 | |
| CN114374838A (zh) | 一种网络摄像头监测方法、装置、设备及介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20210319 |