CN114640496B - 一种流量传输控制方法、装置、电子设备和存储介质 - Google Patents

一种流量传输控制方法、装置、电子设备和存储介质 Download PDF

Info

Publication number
CN114640496B
CN114640496B CN202111423998.2A CN202111423998A CN114640496B CN 114640496 B CN114640496 B CN 114640496B CN 202111423998 A CN202111423998 A CN 202111423998A CN 114640496 B CN114640496 B CN 114640496B
Authority
CN
China
Prior art keywords
detection result
flow data
transmission control
protocol
judging
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111423998.2A
Other languages
English (en)
Other versions
CN114640496A (zh
Inventor
薛智慧
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Topsec Technology Co Ltd
Beijing Topsec Network Security Technology Co Ltd
Beijing Topsec Software Co Ltd
Original Assignee
Beijing Topsec Technology Co Ltd
Beijing Topsec Network Security Technology Co Ltd
Beijing Topsec Software Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Topsec Technology Co Ltd, Beijing Topsec Network Security Technology Co Ltd, Beijing Topsec Software Co Ltd filed Critical Beijing Topsec Technology Co Ltd
Priority to CN202111423998.2A priority Critical patent/CN114640496B/zh
Publication of CN114640496A publication Critical patent/CN114640496A/zh
Application granted granted Critical
Publication of CN114640496B publication Critical patent/CN114640496B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请实施例提供一种流量传输控制方法、装置、电子设备及存储介质，其中，流量传输控制方法包括：设置应用层协议白名单，所述应用层协议白名单包括应用层常用协议；设置网络模型协议名单，所述网络模型协议名单包括网络攻击常用协议；获取流量数据；获取所述流量数据对应的协议；判断所述流量数据对应的协议是否在所述应用层协议白名单内；若是，放行所述流量数据；若否，判断所述流量数据对应的协议是否在所述网络模型协议名单内，得到第一检测结果；根据所述第一检测结果对所述流量数据进行传输控制。实施本申请提供的实施例，能够提高对流量的检测速度、检测准确率。

Description

一种流量传输控制方法、装置、电子设备和存储介质
技术领域
本申请涉及网络安全技术领域，具体而言，涉及一种流量传输控制方法、装置、电子设备和计算机可读存储介质。
背景技术
目前，针对异常流量检测的研究方法基本都是基于机器学习、统计分析，通过对流量数据进行基于机器学习算法或统计分析进行建模，然后通过模型实现异常流量的分析和检测。基于机器学习的检测方法，在算法方面包括：监督、半监督、无监督三种。现有技术中，既有先通过离线学习模型实现的检测方法，也有通过在线学习模型实现的检测方法，但本质上都是首先通过对高质量的流量数据进行预处理、然后进行特征向量化，使用分类、聚类等算法对特征向量模型进行训练，待训练的模型达到一个评估值后就可以部署实现检测；基于统计分析的方法，首先接收的流量，对接收的流量从目的IP、端口、包长、包间隔、包数、时延、包序列等维度进行统计，然后选取一个概率模型进行实现参数估计，最后使用此模型对流量数据进行估计，不符合概率模型即告警。
基于机器学习的检测方法，更多的依赖于特征选择、特征筛选、高质量数据，在特征处理方面太多容易导致“维度灾难”，太少又无法对数据进行很好的学习；机器学习方法通常依赖于训练时的高质量数据，但由于网络安全特殊性、复杂性、隐私性等问题，用于训练模型的高质量数据非常缺少，导致训练的模型准确率收到影响。
基于统计分析的方法通常依赖于网络环境中的采集到的数据，采集到的数据最终会影响估计出来的概率模型参数，另一方面，网络流量模型是否真的符合某些假设的概率模型，也没有特别明确的结论。总而言之，现有的流量传输控制方法效率较低，准确率不高。
发明内容
本申请实施例的目的在于提供一种流量传输控制方法、装置、电子设备和存储介质。
第一方面，本申请实施例提供了一种流量传输控制方法，包括：
设置应用层协议白名单，所述应用层协议白名单包括应用层常用协议；
设置网络模型协议名单，所述网络模型协议名单包括网络攻击常用协议；
获取流量数据；
获取所述流量数据对应的协议；
判断所述流量数据对应的协议是否在所述应用层协议白名单内；
若是，放行所述流量数据；
若否，判断所述流量数据对应的协议是否在所述网络模型协议名单内，得到第一检测结果；
根据所述第一检测结果对所述流量数据进行传输控制。
在上述实现过程中，设置了应用层协议的白名单，在企业的内部通信中，常用的应用层协议一般不会携带病毒信息，因此，应用层协议白名单可以过滤掉大多数的安全报文。除此之外，还设置了网络协议名单，网络协议名单中包括了网络攻击中常用的协议。基于上述实施方式，可以快速地过滤掉一部分安全的流量数据，提高对异常流量的检测速度，进一步提高传输控制的能力。
进一步地，所述根据所述第一检测结果判断对所述流量数据进行传输控制的步骤，包括：
若所述第一检测结果为是，对所述流量数据进行隧道检测，得到第二检测结果，根据所述第二检测结果对所述流量数据进行传输控制；
若所述第一检测结果为否，判断所述协议是否包括TCP/UDP协议，得到第三检测结果，根据所述第三检测结果对所述流量数据进行传输控制。
在上述实现过程中，如果第一检测结果为是，则说明该流量数据中的协议在网络模型名单内，该流量数据可能是不安全的，因此，进一步进行隧道检测，进一步提高对异常流量的检测准确率；如果协议不在网络模型名单内，则进一步判断协议是否为TCP/UDP协议，得到第三检测结果，根据第三检测结果对流量数据进行传输控制。基于上述实施方式，可以提高检测速度，同时提高检测准确率。
进一步地，所述根据所述第二检测结果判断是否放行所述流量数据的步骤，包括：
若所述第二检测结果为正常，对所述流量数据进行协议解析合法校验，获得第四检测结果，根据所述第四检测结果对所述流量数据进行传输控制；
若所述第二检测结果为异常，判定所述流量数据存在应用层或非应用层协议异常，发出告警信息。
在上述实现过程中，如果协议的隧道检测为正常，则进一步对流量数据进行协议解析合法校验，得到第四检测结果，根据第四检测结果对流量数据进行传输控制，如果第二检测结果为异常，那么发出告警信息。基于上述实施方式，可以实现对流量数据的全面安全检测。
进一步地，所述根据所述第三检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第三检测结果为是，将所述流量数据输入基于有效荷载模型进行编码加密检测，得到第五检测结果，根据所述第五检测结果对所述流量数据进行传输控制；
若所述第三检测结果为否，放行所述流量数据。
在上述实现过程中，当第三检测结果为是时，说明协议中使用了TCP/UDP协议，由于TCP/UDP协议容易被用来隐藏信息，因此，对流量数据进行编码加密检测，得到第五检测结果，根据所述第五检测结果对所述流量数据进行传输控制。如果协议中没有包括TCP/IP协议，则可以直接放行流量数据，基于上述实施方式，可以提高检测速度。
进一步地，所述根据所述第四检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第四检测结果为合法，放行所述流量数据；
若所述第四检测结果为非法，判定所述流量数据存在非法协议，发出告警信息。
在上述实现过程中，如果第四检测结果为非法，判定流量数据存在非法协议，发出告警信息。基于上述实施方式，可以快速实现对流量数据的精准检测，并且提高对异常流量检测的精准性。
进一步地，所述根据所述第五检测结果判断是否放行所述流量数据的步骤，包括：
若所述第五检测结果为是，判断所述流量数据是否采用异或加密算法加密，得到第六检测结果，根据所述第六检测结果对所述流量数据进行传输控制；
若所述第五检测结果为否，放行所述流量数据。
在上述实现过程中，当第五检测结果为是时，说明流量数据存在编码加密，进一步判断流量数据是否采用异或加密算法，得到第六检测结果，根据第六检测结果对流量数据进行传输控制。
进一步地，所述根据所述第六检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第六检测结果为是，判定所述流量数据采用异或加密算法加密，发出告警信息；
若所述第六检测结果为否，判定所述流量数据是否采用BASE-X算法处理，得到第七检测结果，根据第七检测结果对所述流量数据进行传输控制。
在上述实现过程中，如果第六检测结果为是，则发出告警信息，使工作人员知晓。
第二方面，本申请实施例提供一种流量传输控制装置，包括：
名单生成模块，用于设置应用层协议白名单，所述应用层协议白名单包括应用层常用协议；设置网络模型协议名单，所述网络模型协议包括所述网络模型内常用协议；
获取模块，用于获取流量数据；获取所述流量数据对应的协议；
判断模块，用于判断所述流量数据对应的协议是否在所述应用层协议白名单内；
传输控制模块，用于当判断模块的判定结果为是时，放行所述流量数据；
所述判断模块还用于当所述流量数据对应的协议不在所述应用层协议白名单内时，判断所述流量数据对应的协议是否在所述网络模型协议名单内，得到第一检测结果；
所述传输控制模块还用于根据所述第一检测结果对所述流量数据进行传输控制。
在上述实现过程中，通过设置应用层协议白名单，当获取到流量数据后，可以直接通过应用层协议白名单和网络模型协议名单实现对流量数据的过滤。过滤操作相比于现有技术中的机器算法识别，能够更快速地放行安全流量。
第三方面，本申请实施例提供的一种电子设备，包括：存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如第一方面任一项所述的方法的步骤。
第四方面，本申请实施例提供的一种计算机可读存储介质，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如第一方面任一项所述的方法。
为使本申请的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。
图1为本申请实施例提供的流量的传输控制方法的流程示意图；
图2为本申请实施例提供的根据第一检测结果对流量进行传输控制的流程示意图；
图3为本申请实施例提供的根据第二检测结果对流量进行传输控制的流程示意图；
图4为本申请实施例提供的根据第三检测结果对流量进行传输控制的流程示意图；
图5为本申请实施例提供的第四检测结果对流量进行传输控制的流程示意图；
图6为本申请实施例提供的第五检测结果对流量进行传输控制的流程示意图；
图7为本申请实施例提供的第六检测结果对流量进行传输控制的流程示意图；
图8为本申请实施例提供的流量传输装置的内部结构图；
图9为本申请实施例提供的电子设备的结构图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
实施例1
参见图1，本申请实施例提供一种流量传输控制方法，包括：
S1：设置应用层协议白名单，应用层协议白名单包括应用层常用协议；
S2：设置网络模型协议名单，网络模型协议包括网络模型内常用协议；
S3：获取流量数据；
S4：获取流量数据对应的协议；
S5：判断流量数据对应的协议是否在应用层协议白名单内；若是，执行S6；若否，执行S7；
S6：放行流量数据；
S7：判断流量数据对应的协议是否在网络模型协议名单内，得到第一检测结果；
S8：根据第一检测结果对流量数据进行传输控制。
上述实施例中，流量数据可以为网络通信中的数据包、报文。获取流量数据实际上是抓取网络通信中的数据包以及报文。
S4中，通过获取流量数据中数据特征可以获取流量数据对应的协议。
很多应用软件使用的协议都承载在HTTP、HTTPS、SSL等七层网络模型中的协议之上，为了将这些协议与传统的应用层协议(HTTP、DNS、FTP、SMTP、POP3等)区分，本申请实施例在原有的七层网络模型的基础上定义八层网络模型，其中，第八层的协议为应用软件所用的协议。应用层协议白名单包括企业通信中常用的应用层协议。
利用应用层协议白名单，可以将企业通信中的流量数据中关于互联网音视频、财经软件、即时通信软件、语音电话、电子商务等大类的协议进行过滤，在后续的异常检测中减少了对这部分流量的异常检测，提高了检测效率。
网络模型名单是针对上述建立的八层网络模型中的七层以及七层以下的协议。定向威胁攻击(Advanced Persistent Threat，APT)攻击的指挥和控制阶段进行通信时，最常使用的协议为：HTTP、HTTPS、DNS、ICMP、TCP，因此，网络模型名单中包括HTTP、HTTPS、DNS、ICMP、TCP协议。
参见图2，在一种可能的实施方式中，S8包括以下步骤：
S81：若第一检测结果为是，对流量数据进行异常隧道检测，得到第二检测结果，根据第二检测结果对流量数据进行传输控制；
S82：若第一检测结果为否，判断协议是否包括TCP/UDP协议，得到第三检测结果，根据第三检测结果对流量数据进行传输控制。
如果第一检测结果为是，则说明该流量数据对应的协议在网络模型名单内，该流量数据可能是不安全的，因此，进一步进行隧道检测，进一步提高对异常流量的检测准确率；如果流量数据对应的协议不在网络模型名单内，则进一步判断流量数据对应的协议是否为TCP/UDP协议，得到第三检测结果，根据第三检测结果对流量数据进行传输控制。基于上述实施方式，可以提高检测速度，同时提高检测准确率。
隧道技术的实质是利用一种网络层的协议来传输另一种网络层的协议，其基本功能是封装和加密，主要利用隧道协议来实现。封装是构建隧道的基本手段。隧道检测是对流量数据中的隧道协议进行异常检测，例如，基于HTTP Body的隧道，在传输过程中，有效荷载的数据长度都较少且很多都是加密或编码的，可基于流量数据中的HTTP流量行为的规则实现异常检测。对于DNS隧道，可基于域名白名单，同时结合基于机器学习中的DNS隧道检测模型，实现精准检测。对于ICMP协议隧道，可以对ping和traceroute两个工具的ICMP协议进行分析，这两个工具默认在ICMP协议的填充均使用相同的数据，因此可以采用白名单的方式实现对已知ICMP协议的过滤，对未知的使用ICMP协议的流量数据出发告警。windows系统中使用的ICMP白名单有2种，包括：61 62…77、00 00…00；Linux系统中使用的ICMP白名单有5种包括：00 01 02 03 04 05 06、48 49 4a 4b 4c4d 4e等；BSD系统中使用的白名单有5种包括：00 00 00 00 00 00 00、8字节时间戳+08 09…0e等；可使用常见工具的ICMP流量白名单机制，对未知ICMP流量可实现精准检测。
参见图3，在一种可能的实施方式中，S81包括以下子步骤：
S811：若第二检测结果为正常，对流量数据进行协议解析合法校验，获得第四检测结果，根据第四检测结果对流量数据进行传输控制；
S812：若第二检测结果为异常，判定流量所用的协议发生异常，发出告警信息。
如果协议的隧道检测为正常，则进一步对流量数据进行协议解析合法校验，得到第四检测结果，根据第四检测结果对流量数据进行传输控制，如果第二检测结果为异常，那么发出告警信息。基于上述实施方式，可以实现对流量数据的全面安全检测。
协议解析合法校验主要是针对流量数据中关于隧道协议的相关字段的合法性进行检测。例如，TLS协议是常用的隧道协议，网络攻击经常使用使用TLS协议实现伪装，即：FakeTLS技术，此技术在流量传输时构造一个合法的TLS协议头部，但在后续的协议格式并不符合TLS协议规范，同时后续的加密数据也并不是协议协商中使用的加密算法。针对此加密隧道，对于TLS协议实现协议的细粒度解析，然后基于RFC(Request For Comments)规则对TLS协议中的相关字段合法性、有效性进行检查。
参见图4，在一种可能的实施方式中，S82包括以下步骤：
S821：若第三检测结果为是，将流量数据输入基于有效荷载模型进行编码加密检测，得到第五检测结果，根据第五检测结果对流量数据进行传输控制；
S822：若第三检测结果为否，放行流量数据。
当第三检测结果为是时，说明协议中包括TCP/UDP协议，由于TCP/UDP协议容易被用来隐藏信息，因此，对流量数据进行编码加密检测，得到第五检测结果，根据第五检测结果对流量数据进行传输控制。如果协议中没有使用TCP/UDP协议，则可以直接放行流量数据，基于上述实施方式，可以提高检测速度。
有效荷载指的是发送方发送的对接收方有用的数据。在网络攻击中，TCP协议隧道也是常用的隧道协议，恶意软件直接使用TCP进行数据通信。但由于明文通信很容易被检测，因此在使用TCP协议通信时都会使用：加密、编码、压缩等技术实现逃逸检测。但在企业网中使用的安全通信方式都是一般都是椭圆曲线结合AES256级、RSA1024级等强度的加密算法，而恶意软件要使用这种级别强度的算法，一方面会增加通信的性能损耗，有效荷载会和发生异常。因此，基于有效荷载的模型可以实现对流量数据是否存在编码进行精准检测。
在一种可能的实施方式中，可以预先对最大荷载的模型进行离线训练，将训练好的模型应用在实施检测中。也可以使用随机森林、GBDT等常见的机器学习分类算法，对模型进行训练和调优。
参见图5，在一种可能的实施方式中，S811包括：
S8111：若第四检测结果为合法，放行流量数据；
S8112：若第四检测结果为非法，判定流量数据存在非法协议，发出告警信息。
在上述实现过程中，如果第四检测结果为非法，判定流量数据存在非法协议，发出告警信息。基于上述实施方式，可以快速实现对流量数据的精准检测，并且提高对异常流量检测的精准性。
参见图6，在一种可能的实施方式中，S821包括：
S8211：若第五检测结果为是，判断流量数据是否采用异或加密算法加密，得到第六检测结果，根据第六检测结果对流量数据进行传输控制；
S8212：若第五检测结果为否，放行流量数据。
当第五检测结果为是时，说明流量数据存在编码加密，进一步判断流量数据是否采用异或加密算法，得到第六检测结果，根据第六检测结果对流量数据进行传输控制。
参见图7，在一种可能的实施方式中，S8211包括：
S82111：若第六检测结果为是，判定流量数据采用异或加密算法加密，发出告警信息；
S82112：若第六检测结果为否，判定流量数据是否采用BASE-X算法处理，得到第七检测结果，根据第七检测结果对流量数据进行传输控制。
在上述实现过程中，如果第六检测结果为是，则发出告警信息，使工作人员知晓。
在一种可能的实施方式中，当第七检测结果为是时，判定流量数据经BASE-X算法处理，发出告警信息。当第七检测结果为否时，放行流量数据。
示例性地，当前使用的安全通信方式都是一般都是椭圆曲线结合AES256级、RSA1024级等强度的加密算法，而恶意软件要使用这种级别强度的算法，一方面会增加通信的性能损耗，另一方面增加的基础设施也会增加攻击的成本。因此，恶意软件常使用的逃逸技术包括：XOR、RC4(Rivest Cipher 4)、AES128(Advanced Encryption Standard，AES)、BASE-X、URL-Encodeing、bzip2、zlib等简单、高效、有效的方法。针对此隧道技术，使用基于机器学习的分类技术，实现对：XOR、RC4、AES128、AES256、BASE-X、压缩等数据的精准识别。因此对企业内网中经过协议识别后的TCP流量进行基于机器学习的模型检测，若识别为上述逃逸技术即可告警，实现对TCP协议的隧道实现检测。
在一种可能的实施方式中，还可以通过判断流量数据是否经过RC4、AES128、URL-Encodeing、bzip2、zlib等算法处理来判断是否放行该流量数据。
实施例2
参见图8，本申请实施例提供一种流量传输控制装置，包括：
名单生成模块1，用于设置应用层协议白名单，应用层协议白名单包括应用层常用协议；还用于设置网络模型协议名单，网络模型协议名单包括网络攻击常用协议；
获取模块2，用于获取流量数据；获取流量数据对应的协议；
判断模块3，用于判断流量数据对应的协议是否在应用层协议白名单内；
传输控制模块4，用于当判断模块的判定结果为是时，放行流量数据；
判断模块3还用于当流量数据对应的协议不在应用层协议白名单内时，判断流量数据对应的协议是否在网络模型协议名单内，得到第一检测结果；
传输控制模块4还用于根据第一检测结果对流量数据进行传输控制。
在一种可能的实施方式中，判断模块3还用于当第一检测结果为是时，对流量数据进行异常隧道检测，得到第二检测结果，传输控制模块4还用于根据第二检测结果对流量数据进行传输控制；判断模块3还用于当第一检测结果为否时，判断协议是否为TCP/UDP协议，得到第三检测结果，传输控制模块4还用于根据第三检测结果对流量数据进行传输控制。
在一种可能的实施方式中，判断模块3还用于当第二检测结果为正常时，对流量数据进行协议解析合法校验，获得第四检测结果，传输控制模块4根据第四检测结果对流量数据进行传输控制；判断模块3还用于当第二检测结果为异常时，判定流量所用的协议发生异常，发出告警信息。
在一种可能的实施方式中，判断模块3还用于当第三检测结果为是时，将流量数据输入基于最大荷载的模型进行编码加密检测，得到第五检测结果，传输控制模块4还用于根据第五检测结果对流量数据进行传输控制；当第三检测结果为否时，放行流量数据。
在一种可能的实施方式中，判断模块3还用于当第四检测结果为合法时，放行流量数据；当第四检测结果为非法时，判定流量数据存在非法协议，发出告警信息。
在一种可能的实施方式中，判断模块3还用于当第五检测结果为是时，判断流量数据是否采用异或加密算法，得到第六检测结果，传输控制模块4还用于根据第六检测结果对流量数据进行传输控制；当第五检测结果为否时，放行流量数据。
在一种可能的实施方式中，判断模块3还用于当第六检测结果为是时，判定流量数据采用异或加密算法加密，发出告警信息；当第六检测结果为否时，判定流量数据是否采用BASE-X算法处理，得到第七检测结果，传输控制模块4根据第七检测结果对流量数据进行传输控制。
实施例3
如图9所示，本申请实施例还提供一种电子设备，该电子设备可以包括处理器91、通信接口92、存储器93和至少一个通信总线94。其中，通信总线94用于实现这些组件直接的连接通信。其中，本申请实施例中设备的通信接口92用于与其他节点设备进行信令或数据的通信。处理器91可以是一种集成电路芯片，具有信号的处理能力。
上述的处理器91可以是通用处理器，包括中央处理器(Central ProcessingUnit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器91也可以是任何常规的处理器等。
存储器93可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-Only Memory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)等。存储器93中存储有计算机可读取指令，当计算机可读取指令由所述处理器91执行时，设备可以执行上述图1-图7方法实施例涉及的各个步骤。
可选地，电子设备还可以包括存储控制器、输入输出单元。存储器93、存储控制器、处理器91、外设接口、输入输出单元各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通信总线94实现电性连接。处理器91用于执行存储器93中存储的可执行模块，例如设备包括的软件功能模块或计算机程序。
输入输出单元用于提供给用户创建任务以及为该任务创建启动可选时段或预设执行时间以实现用户与服务器的交互。输入输出单元可以是，但不限于，鼠标和键盘等。
可以理解，图9所示的结构仅为示意，电子设备还可包括比图9中所示更多或者更少的组件，或者具有与图9所示不同的配置。图9中所示的各组件可以采用硬件、软件或其组合实现。本申请实施例还提供一种存储介质，所述存储介质上存储有指令，当所述指令在计算机上运行时，所述计算机程序被处理器执行时实现方法实施例所述的方法，为避免重复，此处不再赘述。
本申请提供一种计算机可读存储介质，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如实施例1所述的方法。
在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。
所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (4)

1.一种流量传输控制方法，其特征在于，包括：
设置应用层协议白名单，所述应用层协议白名单包括应用层常用协议；
设置网络模型协议名单，所述网络模型协议名单包括网络攻击常用协议；
获取流量数据；
获取所述流量数据对应的协议；
判断所述流量数据对应的协议是否在所述应用层协议白名单内；
若是，放行所述流量数据；
若否，判断所述流量数据对应的协议是否在所述网络模型协议名单内，得到第一检测结果；
根据所述第一检测结果对所述流量数据进行传输控制；
所述根据所述第一检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第一检测结果为是，对所述流量数据进行异常隧道检测，得到第二检测结果，根据所述第二检测结果对所述流量数据进行传输控制；
若所述第一检测结果为否，判断所述协议是否包括TCP/UDP协议，得到第三检测结果，根据所述第三检测结果对所述流量数据进行传输控制；
所述根据所述第二检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第二检测结果为正常，对所述流量数据进行协议解析合法校验，获得第四检测结果，根据所述第四检测结果对所述流量数据进行传输控制；
若所述第二检测结果为异常，判定所述流量所用的协议发生异常，发出告警信息；
所述根据所述第三检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第三检测结果为是，将所述流量数据输入基于最大荷载的模型进行编码加密检测，得到第五检测结果，根据所述第五检测结果对所述流量数据进行传输控制；
若所述第三检测结果为否，放行所述流量数据；
所述根据所述第四检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第四检测结果为合法，放行所述流量数据；
若所述第四检测结果为非法，判定所述流量数据存在非法协议，发出告警信息；
所述根据所述第五检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第五检测结果为是，判断所述流量数据是否采用异或加密算法加密，得到第六检测结果，根据所述第六检测结果对所述流量数据进行传输控制；
若所述第五检测结果为否，放行所述流量数据；
所述根据所述第六检测结果对所述流量数据进行传输控制的步骤，包括：
若所述第六检测结果为是，判定所述流量数据采用异或加密算法加密，发出告警信息；
若所述第六检测结果为否，判定所述流量数据是否采用BASE-X算法处理，得到第七检测结果，根据第七检测结果对所述流量数据进行传输控制；
当第七检测结果为是时，判定流量数据经BASE-X算法处理，发出告警信息；当第七检测结果为否时，放行流量数据。
2.一种流量传输控制装置，其特征在于，包括：
名单生成模块，用于设置应用层协议白名单，所述应用层协议白名单包括应用层常用协议；还用于设置网络模型协议名单，所述网络模型协议名单包括网络攻击常用协议；
获取模块，用于获取流量数据；获取所述流量数据对应的协议；
判断模块，用于判断所述流量数据对应的协议是否在所述应用层协议白名单内；
传输控制模块，用于当判断模块的判定结果为是时，放行所述流量数据；
所述判断模块还用于当所述流量数据对应的协议不在所述应用层协议白名单内时，判断所述流量数据对应的协议是否在所述网络模型协议名单内，得到第一检测结果；
所述传输控制模块还用于根据所述第一检测结果对所述流量数据进行传输控制；
判断模块还用于当第一检测结果为是时，对流量数据进行异常隧道检测，得到第二检测结果，传输控制模块还用于根据第二检测结果对流量数据进行传输控制；判断模块还用于当第一检测结果为否时，判断协议是否为TCP/UDP协议，得到第三检测结果，传输控制模块还用于根据第三检测结果对流量数据进行传输控制；
判断模块还用于当第二检测结果为正常时，对流量数据进行协议解析合法校验，获得第四检测结果，传输控制模块根据第四检测结果对流量数据进行传输控制；判断模块还用于当第二检测结果为异常时，判定流量所用的协议发生异常，发出告警信息；
判断模块还用于当第三检测结果为是时，将流量数据输入基于最大荷载的模型进行编码加密检测，得到第五检测结果，传输控制模块还用于根据第五检测结果对流量数据进行传输控制；当第三检测结果为否时，放行流量数据；
判断模块还用于当第四检测结果为合法时，放行流量数据；当第四检测结果为非法时，判定流量数据存在非法协议，发出告警信息；
判断模块还用于当第五检测结果为是时，判断流量数据是否采用异或加密算法，得到第六检测结果，传输控制模块还用于根据第六检测结果对流量数据进行传输控制；当第五检测结果为否时，放行流量数据；
判断模块还用于当第六检测结果为是时，判定流量数据采用异或加密算法加密，发出告警信息；当第六检测结果为否时，判定流量数据是否采用BASE-X算法处理，得到第七检测结果，传输控制模块根据第七检测结果对流量数据进行传输控制；
所述装置还用于当第七检测结果为是时，判定流量数据经BASE-X算法处理，发出告警信息；当第七检测结果为否时，放行流量数据。
3.一种电子设备，其特征在于，包括：存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1所述的流量传输控制方法的步骤。
4.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如权利要求1所述的流量传输控制方法。
CN202111423998.2A 2021-11-26 2021-11-26 一种流量传输控制方法、装置、电子设备和存储介质 Active CN114640496B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111423998.2A CN114640496B (zh) 2021-11-26 2021-11-26 一种流量传输控制方法、装置、电子设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111423998.2A CN114640496B (zh) 2021-11-26 2021-11-26 一种流量传输控制方法、装置、电子设备和存储介质

Publications (2)

Publication Number Publication Date
CN114640496A CN114640496A (zh) 2022-06-17
CN114640496B true CN114640496B (zh) 2024-02-06

Family

ID=81945774

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111423998.2A Active CN114640496B (zh) 2021-11-26 2021-11-26 一种流量传输控制方法、装置、电子设备和存储介质

Country Status (1)

Country Link
CN (1) CN114640496B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115134306A (zh) * 2022-09-01 2022-09-30 杭州安恒信息技术股份有限公司 一种物联网终端的数据流量检测方法、装置、设备及介质

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018208715A1 (en) * 2017-05-08 2018-11-15 Siemens Aktiengesellschaft Multilevel intrusion detection in automation and control systems
CN109005157A (zh) * 2018-07-09 2018-12-14 华中科技大学 一种软件定义网络中DDoS攻击检测与防御方法与系统
CN109327442A (zh) * 2018-10-10 2019-02-12 杭州安恒信息技术股份有限公司 基于行为白名单的异常检测方法、装置以及电子设备
CN109510815A (zh) * 2018-10-19 2019-03-22 杭州安恒信息技术股份有限公司 一种基于有监督学习的多级钓鱼网站检测方法及检测系统
CN110661781A (zh) * 2019-08-22 2020-01-07 中科创达软件股份有限公司 一种DDoS攻击检测方法、装置、电子设备和存储介质
CN110808962A (zh) * 2019-10-17 2020-02-18 奇安信科技集团股份有限公司 一种畸形数据包检测方法及装置
WO2020046260A1 (en) * 2018-08-27 2020-03-05 Siemens Aktiengesellschaft Process semantic based causal mapping for security monitoring and assessment of control networks
CN112468488A (zh) * 2020-11-25 2021-03-09 杭州安恒信息技术股份有限公司 工业异常监测方法、装置、计算机设备及可读存储介质

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018208715A1 (en) * 2017-05-08 2018-11-15 Siemens Aktiengesellschaft Multilevel intrusion detection in automation and control systems
CN109005157A (zh) * 2018-07-09 2018-12-14 华中科技大学 一种软件定义网络中DDoS攻击检测与防御方法与系统
WO2020046260A1 (en) * 2018-08-27 2020-03-05 Siemens Aktiengesellschaft Process semantic based causal mapping for security monitoring and assessment of control networks
CN109327442A (zh) * 2018-10-10 2019-02-12 杭州安恒信息技术股份有限公司 基于行为白名单的异常检测方法、装置以及电子设备
CN109510815A (zh) * 2018-10-19 2019-03-22 杭州安恒信息技术股份有限公司 一种基于有监督学习的多级钓鱼网站检测方法及检测系统
CN110661781A (zh) * 2019-08-22 2020-01-07 中科创达软件股份有限公司 一种DDoS攻击检测方法、装置、电子设备和存储介质
CN110808962A (zh) * 2019-10-17 2020-02-18 奇安信科技集团股份有限公司 一种畸形数据包检测方法及装置
CN112468488A (zh) * 2020-11-25 2021-03-09 杭州安恒信息技术股份有限公司 工业异常监测方法、装置、计算机设备及可读存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于多重特性的P2P流量识别方法;刘剑刚;秦拯;祝仰金;;微计算机信息(第33期);全文 *

Also Published As

Publication number Publication date
CN114640496A (zh) 2022-06-17

Similar Documents

Publication Publication Date Title
US10467411B1 (en) System and method for generating a malware identifier
Ponomarev et al. Industrial control system network intrusion detection by telemetry analysis
WO2021063068A1 (zh) 运维管控、运维分析方法、装置、系统及存储介质
US11122061B2 (en) Method and server for determining malicious files in network traffic
JP5886422B2 (ja) プロトコルフィンガープリント取得および評価相関のためのシステム、装置、プログラム、および方法
TWI292545B (en) Stateful stack inspection anti-virus and anti-intrusion firewall method
EP3065341B1 (en) Content classification medthod and device
Jardine et al. Senami: Selective non-invasive active monitoring for ics intrusion detection
KR20200052881A (ko) 멀웨어 호스트 넷플로우 분석 시스템 및 방법
CN112769633B (zh) 一种代理流量检测方法、装置、电子设备及可读存储介质
Li et al. Poster: Intrusion detection system for in-vehicle networks using sensor correlation and integration
CN111869189A (zh) 网络探针和处理消息的方法
CA3159619A1 (en) Packet processing method and apparatus, device, and computer-readable storage medium
CN114640496B (zh) 一种流量传输控制方法、装置、电子设备和存储介质
CN113518042B (zh) 一种数据处理方法、装置、设备及存储介质
CN113574841A (zh) 一种信息处理方法及装置、设备、存储介质
CN115147956A (zh) 数据处理方法、装置、电子设备及存储介质
Wang et al. Behavior‐based botnet detection in parallel
Iglesias et al. DAT detectors: uncovering TCP/IP covert channels by descriptive analytics
US11405411B2 (en) Extraction apparatus, extraction method, computer readable medium
CN111756716A (zh) 流量检测方法、装置及计算机可读存储介质
CN114866310A (zh) 一种恶意加密流量检测方法、终端设备及存储介质
CN113678419B (zh) 端口扫描检测
US20180316700A1 (en) Data security inspection mechanism for serial networks
CN115051874A (zh) 一种多特征的cs恶意加密流量检测方法和系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant