[发明专利]一种HTTP网络特征码自动生成方法及其系统

权利要求书

1.一种HTTP网络特征码自动生成方法，其特征在于，所述方法包括：

包特征码生成步骤：对网络样本的数据流特征统计和一问一答包内容进行提取，通过二次聚类生成粗粒度聚类集，进而在所述粗粒度聚类集的基础上二次聚类生成细粒度聚类集，通过所述细粒度聚类集生成所述网络样本的一问一答包特征码集合所述一问一答包为首个请求和首个响应HTTP数据包，所述包特征码生成步骤包含数据提取步骤：对所述网络样本的数据流特征统计和一问一答包内容进行提取，所述数据提取步骤包含：

粗粒度聚类属性提取步骤：以所述网络样本为单位，提取粗粒度聚类的四维统计值，包括：HTTP数据流总数、每秒发送字节数、HTTP数据包平均大小和HTTP数据包总数，得到粗粒度聚类属性；

细粒度聚类属性提取步骤：以每个HTTP会话为单位，提取细粒度聚类的四维统计值，包括：会话请求包个数、会话响应包个数、首个请求包大小和首个响应包大小，得到细粒度聚类属性；

URI特征码生成步骤：针对所述网络样本中被划分为单独一类的流量，进行URI路径及参数特征码的补充提取，生成所述URI的特征码集合

HTTP网络特征码总集合生成步骤：通过所述一问一答包特征码集合和所述URI的特征码集合合并生成特征码总集合T_all。

2.根据权利要求1所述HTTP网络特征码自动生成方法，其特征在于，所述包特征码生成步骤，包含：

二次聚类步骤：根据所述网络样本的数据流特征统计和所述一问一答包内容分别进行二次聚类，在生成所述粗粒度聚类集的基础上，生成所述细粒度聚类集；

一问一答包特征码生成步骤：根据所述细粒度聚类集，分别生成请求包和响应包的特征码集合。

3.根据权利要求2所述HTTP网络特征码自动生成方法，其特征在于，所述数据提取步骤之前还包含：

白名单过滤步骤：过滤去除所述网络样本中访问合法网站的流量。

4.根据权利要求2所述HTTP网络特征码自动生成方法，其特征在于，所述数据提取步骤，还包括：

数据内容提取步骤：提取HTTP会话连接的所述一问一答包内容；

汇总数据集步骤：将所述一问一答包内容、所述粗粒度聚类属性和所述细粒度聚类属性汇总得到五元组数据集所述五元组的格式为：<样本id，会话id，一问一答包内容，粗粒度聚类属性，细粒度聚类属性>。

5.根据权利要求4所述HTTP网络特征码自动生成方法，其特征在于，所述二次聚类步骤，还包括：

粗粒度聚类步骤：对所述五元组数据集自动对所述粗粒度聚类属性进行聚类，得到粗粒度聚类集C，如果所述粗粒度聚类集C只属于一个所述网络样本，则执行所述URI特征码生成步骤；

细粒度聚类步骤：以所述粗粒度聚类集C为基础，对每个粗粒度聚类c_i中的所有会话，自动按照所述细粒度聚类属性进行聚类，得到细粒度聚类集C′，其中C′∈C_i，c_i∈C；

样本覆盖度判断步骤：如果存在细粒度聚类c′_i中的所有会话来源于k个样本，k的数值大于1，小于等于所述网络样本个数，则认为所述细粒度聚类成功，否则执行所述URI特征码生成步骤，其中c′_i∈C′。

6.根据权利要求5所述HTTP网络特征码自动生成方法，其特征在于，所述一问一答包特征码生成步骤，还包括：

HTTP特征码集合生成步骤：对所述每个细粒度聚类c′_i中所有会话连接分别进行请求包和响应包的特征码生成，依次自动计算得到令牌特征码，最终每个细粒度聚类c′_i分别获取一个请求包的特征码和一个响应包的特征码，形成HTTP特征码集合W，其中c′_i∈C′；

特征码过滤步骤：对所述HTTP特征码集合W进行过滤筛选，去除不合格的所述特征码，合并重复的所述特征码，得到所述一问一答包特征码集合