[发明专利]一种应用层协议特征的提取方法

权利要求书

1.一种应用层协议特征的提取方法，包括以下步骤：

(1)捕获待监听的流量数据包；

(2)提取流量数据包中的频繁1项集，所述频繁1项集的长度设定为2的整数倍；

(3)采用如下合并过程将频繁k项集合并成候选k+1项集，k≥1：

b₁＝Lines[x]+Lines[y].substring(Lines[y].length()-1，Lines[y].length())；

b₂＝Lines[y]+Lines[x].substring(Lines[x].length()-1，Lines[x].length())；

其中，Lines[x]、Lines[y]分别为第x个和第y个频繁k项集，频繁k项集的长度为 LEN；substring(p，q)表示提取从序列的第p位开始到第q位的子序列，b₁和b₂为得到的 候选k+1项集，其长度为LEN+2；

(4)计算候选k+1项集的支持度support，提取满足支持度条件support≥minimum_sup 的候选k+1项集，作为频繁k+1项集；所述minimum_sup为频繁项集支持度的最小阈值；

(5)在频繁k项集中，删除频繁k+1项集包含的项集；

由步骤(3)、(4)、(5)获取的各个频繁项集即构成应用层的协议特征集合；

在所述步骤(2)的频繁1项集提取过程中，采用Bloom Filter算法来判断重复频繁1 项集，并将重复的频繁1项集删除；

在完成频繁k+1项集的提取过程后，紧接着进行删除冗余的频繁k项集的过程：

令f_z为一个频繁k+1项集；f_x和f_y为两个频繁k项集，且f_x＝f_z.substring(1， f_z.length()-2)，f_y＝f_z.substring(3，f_z.length())，那么删除频繁k项集f_x和f_y。

2.根据权利要求1所述的应用层协议特征的提取方法，其特征在于：在所述步骤(2) 之前包括建立流量数据包的频繁项集数据模型的过程：

令I＝(i₁，i₂，....i_d}，每个项i_g(g＝1到d)由两位十六进制数组成，是应用层流量数据包的 最小单位；

T＝{t₁，t₂，....t_d}为所有数据包的集合，t_i＝{I的子集构成的序列}，为一个应用层协议信 息数据包；

令S＝substring(t_i)，S表示应用层协议信息数据包t_i的一个子序列，为I的项集；

频繁项集的支持度support＝P(t_i(S)/R)，其中，分子t_i(S)表示项集S在事务中出现的 次数，分母R表示事务个数，P(t_i(S)/R)表示项集S在事务中的出现频率；若Support≥ minimum_sup，则应用层流量数据包t_i的子序列S为该应用层的协议特征。

3.根据权利要求1所述的应用层协议特征的提取方法，其特征在于：所述频繁1项集 的长度为2的倍数，且大于等于4。

4.根据权利要求1所述的应用层协议特征的提取方法，其特征在于：在所述步骤(2) 和(4)的频繁项集的提取过程中，包括删除不产生频繁项集的流量数据包的过程。

5.根据权利要求1至4中任一项所述的应用层协议特征的提取方法，其特征在于：在 所述步骤(1)中还包括对捕获到的流量数据包进行预处理的过程：

将捕获到流量数据包进行上行网络流量和下行网络流量的分流，只保留上行网络流量。