CN112685510B - 一种基于全流量标签的资产标签方法、计算机程序及存储介质 - Google Patents

Abstract

本发明提供了一种基于全流量标签的资产标签方法，首先对全流量进行预处理，然后预处理后对流量进行标签标识，最后通过对标签的汇聚，对资产进行深度画像，实现对资产全方位、立体化的识别和标识，本发明对流量信息进行多维分解，构建多角度的流量标签体系，能全面的表达流量内容与特性；方法无需预先构建流量特征集合，只需对流量进行客观的标签描述，具有通用性强的优点；流量标签具有信息维度高、信息全、信息密度大的优点，因此相比简单的利用流量内容进行匹配的资产识别或描述，本方法识别路径更加丰富，容错性更高。

Description

一种基于全流量标签的资产标签方法、计算机程序及存储 介质

技术领域

本发明涉及资产画像领域，特别涉及一种基于全流量标签的资产标签方法、计算机程序及存储介质。

背景技术

本发明涉及画像技术是现实生活中很多领域都会用到的技术，比如公安系统对犯人的画像；系统平台对用户行为的画像；企业对客户习惯的画像；银行系统对贷款对象信用的画像。画像技术主要为了身份的识别和行为的刻画，以及基于前两点进行后期的分类或研判。

目前也有很多针对网络资产的画像技术，这些画像技术大多用于资产识别或资产管理，对资产行为和状态并未进行深入画像，是对资产属性的一种简单描述。从识别方面资产识别，目前资产识别主要分为主动识别和别动识别两大类。主动识别是采用主动嗅探技术，即对资产发送特殊构造的报文，根据资产响应内容判断资产类型；被动识别是采用流量解析与识别，不直接发送数据包，直接在通信流量中匹配内容特征，依此判断资产类型；

资产主动识别技术，具有识别精准、快速的优点，但在识别过程中会产生很多额外的报文流量，会对网络环境或资产造成一定的破坏，如造成端口占用、带宽占，dos攻击等，会导致网络震荡、设备异常停机等后果；

被动资产识别技术，具有安全、无害的优点，现有的被动资产识别技术主要采用流量指纹特征匹配。该技术需预先构建一个流量特征字典，将提取到流量特征与构建好的指纹字典进行匹配。这种方法使用流量的内容进行匹配，对于流量其他特性忽略，因此会有很高的漏识别率；该方法完全依靠预先构建的指纹特征集合，方法的容错性较差，一旦指纹有偏差，资产识别误报率就会很高；

现有基于主动扫描的资产识别技术具有以下缺点(CN111104579A)：

(1)产生额外的通信流量，占用网络资源；

(2)对资产特定的端口发送报文，会消耗目标设备的端口资源；

(3)由于企业内网封闭、安全策略等原因，会导致网络不可达，无法进行识别；

现有基于流量特征的资产识别技术具有以下缺点(CN110545219A)：

(1)需预先构造流量特征库，流量特征库难以构建；

(2)流量特征库具有行业或业务的约束性，只能在特定的行业或业务对象适用，通用性差(CN111897962A)；

(3)流量特征匹配的方法，在同时满足多个流量特征时，会丢失或误判，对多重身份的资产识别不适用；

不论是基于主动扫描的资产识别，还是被动流量的资产识别，都只是资产的属性简单描述，只能解决资产识别问题，后期对资产行为刻画、状态画像不适用。

发明内容

针对现有技术中存在的问题，提供了一种基于全流量标签的资产标签方法、计算机程序及存储介质，能够规避主动资产识别技术的短板，同时又能弥补现又基于流量分析的资产识别技术容错性差、识别率低的缺点，并且能够持续的进行除资产识别以外的深度画像。

本发明采用的技术方案如下：一种基于全流量标签的资产标签方法，对全流量进行预处理，预处理后进行流量标签化处理，根据对流量的标签进行标签汇聚处理，通过渐近明晰过程的对资产进行资产深度画像，实现对资产全方位、立体化的识别和标识。

进一步的，所述预处理包括对全流量进行协议识别、会话统计、元数据提取，将流量逐层剥离。

进一步的，所述流量标签化处理过程为：根据流量的协议维度信息、会话维度信息、元数据维度信息、网络特性维度，获取流量特征、流量特性、网络特性、时域特性并进行标签提炼，为流量贴上多维度的描述标签；将描述流量的标签转换为资产的属性标签、行为标签以及资产所处环境的网络特性标签。

进一步的，所述汇聚处理为：对标签进行重组、聚类处理。

进一步的，所述资产深度画像包括：

属性画像：持续对资产进行贴标签、观测标签、汇聚标签，由轮廓到清晰的对资产的类型、型号、软件版本、操作信息进行定性；

行为画像：持续对资产的网络行为、业务行为，进行标签化记录和标识；

状态画像：在属性画像、行为画像的基础上，对资产的运行状态、业务状态、安全状态贴上更高层次的标签，表示设备的运行状态。

本发明还提供了一种计算程序，其包括有计算机程序指令，其中，所述程序指令被处理器执行时用于实现上述的基于全流量标签的资产标签方法对应的过程。

本发明还提供了一种存储介质，其上存储有计算机程序指令，其中，所述程序指令被处理器执行时用于实现上述的基于全流量标签的资产标签方法对应的过程。

与现有技术相比，采用上述技术方案的有益效果为：本发明对流量信息进行多维分解，构建多角度的流量标签体系；无需预先构建标准的流量特征集合，只需对流量进行客观全面的标签描述以及表示，具有通用性强的优点；流量标签化描述后，所包含的信息维度更高、信息更全、价值密度更大，相比简单的采用流量内容进行匹配进行资产识别或描述，识别路径更加丰富，容错性更高。

附图说明

图1是本发明提出的基于全流量标签的资产标签方法流程图。

图2是本发明提出的流量标签化过程示意图。

图3为本发明提出的资产深度画像过程示意图。

具体实施方式

下面结合附图对本发明做进一步描述。

实施例1

如图1所示，一种基于全流量标签的资产标签方法，对全流量进行预处理，预处理后进行流量标签化处理，根据对流量的标签进行标签汇聚处理，通过渐近明晰过程的对资产进行资产深度画像，实现对资产全方位、立体化的识别和标识。

资产画像技术指对网络对象的属性、行为、安全性进行描绘、刻画的一种安全技术；

标签为关于网络对象属性、行为、安全性的流量特征、流量特性或网络特性标识；本实施例中，渐进明晰指随着时间的推移、标签的丰富，资产的画像从轮廓到细节的演变过程。

实施例2

在实施例1的基础上，所述预处理包括对全流量进行协议识别、会话统计、元数据提取，将流量逐层剥离，该步骤为流量标签化的基础。

实施例3

在实施例2的基础上，如图2所示，所述流量标签化处理过程为：根据流量的协议维度信息、会话维度信息、元数据维度信息、网络特性维度，获取流量特征、流量特性、网络特性、时域特性并进行标签提炼，为流量贴上多维度的描述标签；将描述流量的标签转换为资产的属性标签、行为标签以及资产所处环境的网络特性标签。所述汇聚处理指对标签进行重组、聚类处理。

实施例4

在实施例3的基础上，如图3所示，所述资产深度画像包括：

属性画像：持续对资产进行贴标签、观测标签、汇聚标签，由轮廓到清晰的对资产的类型、型号、软件版本、操作信息进行定性；

行为画像：持续对资产的网络行为、业务行为，进行标签化记录和标识；

状态画像：在属性画像、行为画像的基础上，对资产的运行状态、业务状态、安全状态贴上更高层次的标签，表示设备的运行状态。标签只是资产对资产某一方面的浓缩化描述，真正画像是在资产标签数量、维度丰富到已从的程度，应用这些标签，对资产进行熟读的属性画像、行为画像、状态画像过程。

实施例5

在实施例1-4的基础上，本实施例还提供了一种计算程序，其包括有计算机程序指令，其中，所述程序指令被处理器执行时用于实现上述的基于全流量标签的资产标签方法对应的过程。

实施例6

在实施例1-4的基础上，本实施例还提供了一种存储介质，其上存储有计算机程序指令，其中，所述程序指令被处理器执行时用于实现上述的基于全流量标签的资产标签方法对应的过程。

本发明相较于现有的方案以下优点：

(1)本发明不需预先建立特征库，是对流量本身的特性、特征进行标签化描述，通用性更强；

(2)本发明不是简单的模式匹配，而是通过长期的标签积累、标签汇聚对资产进行识别或定性，具备统计决策最佳决策的优点；

(3)本发明对流量的标签化描述，不仅限于流量的内容特征，是对流量的多维度描述。因此即使在流量内容特征缺失或不明显的情况下，依然可以根据长时间的观察，渐进明晰的对资产进行画像；

(4)本发明对资产的画像不是依靠单一的信息源，而是多维标签的综合判断，方法的容错性较高，即使某特定标签不准确，也不会影响最终的资产识别；

(5)本发明通过标签，能够更好的识别资产的多重身份，多重行为，画像分辨率更高。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。如果本领域技术人员，在不脱离本发明的精神所做的非实质性改变或改进，都应该属于本发明权利要求保护的范围。

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

Claims (4)

1.一种基于全流量标签的资产标签方法，其特征在于，对全流量进行预处理，预处理后进行流量标签化处理；根据对流量的标签进行标签汇聚处理，通过渐近明晰过程的对资产进行资产深度画像，实现对资产的识别和标识；

所述流量标签化处理过程为：根据流量的协议维度信息、会话维度信息、元数据维度信息、网络特性维度，获取流量特征、流量特性、网络特性、时域特性并进行标签提炼，为流量贴上多维度的描述标签；将描述流量的标签转换为资产的属性标签、行为标签以及资产所处环境的网络特性标签；

所述资产深度画像包括：

属性画像：持续对资产进行贴标签、观测标签、汇聚标签，由轮廓到清晰的对资产的类型、型号、软件版本、操作信息进行定性；

行为画像：持续对资产的网络行为、业务行为，进行标签化记录和标识；

状态画像：在属性画像、行为画像的基础上，对资产的运行状态、业务状态、安全状态贴上更高层次的标签，表示设备的运行状态；

渐进明晰指随着时间的推移、标签的丰富，资产的画像从轮廓到细节的演变过程。

2.根据权利要求1所述的基于全流量标签的资产标签方法，其特征在于，所述预处理包括对全流量进行协议识别、会话统计、元数据提取，将流量逐层剥离。

3.根据权利要求1所述的基于全流量标签的资产标签方法，其特征在于，所述汇聚处理为：对标签进行重组、聚类处理。

4.一种存储介质，其上存储有计算机程序指令，其中，所述程序指令被处理器执行时用于实现权利要求1-3中任一项所述的基于全流量标签的资产标签方法对应的过程。