[发明专利]移动应用网络流量聚类装置

说明书

移动应用网络流量聚类装置，包括：获取单元，适于获取移动终端所产生的网络流量；预处理单元，适于对所获取的网络流量进行预处理，生成DNS流量对应的DNS流量记录集合和除DNS流量之外的其他网络流量对应的其他网络流量记录集合；第一聚类单元，适于对DNS流量记录集合进行聚类，得到DNS流量对应的多个DNS网络流量类；第二聚类单元，适于采用所得到的多个DNS网络流量类对其他网络流量记录集合进行聚类，得到其他网络流量对应的多个其他网络流量类；合并单元，适于将DNS流量对应的多个DNS网络流量类与其他网络流量对应的多个其他网络流量类进行合并，得到最终的移动应用网络流量聚类结果。上述的方案，可以简易地实现对移动应用网络流量的聚类分析。

技术领域

本发明涉及数据处理技术领域，具体地涉及一种移动应用网络流量聚类装置。

背景技术

随着移动互联网和物联网技术的迅速发展，移动终端，如智能手机、平板Pad、智能眼镜、智能手表等已经成为日常社会活动的重要辅助工具。

然而，移动终端的广泛使用也给网络管理和网络安全防护带来了前所未有的巨大挑战。例如，在某企业内网中，员工个人携带的移动终端安装有恶意应用，该应用调用摄像头拍摄保密信息，然后利用移动通信网络或无线网络将拍摄的保密信息传输至攻击者服务器，造成机密信息泄露。因而，通过网络流量检测恶意移动应用或者分析移动终端的操作行为是否异常，成为当前理论研究以及实际应用的热点问题。

在研究如何通过网络流量检测恶意移动应用或者分析移动终端的操作行为是否异常时，一个重要的前提是能够知悉网络流量与移动应用间的对应关系。例如，在分析网络行为以检测恶意移动应用时，对于不同网络流F1、F2、F3、F4，现有工作假定已知F1和F2由同一移动应用产生，F3和F4由另一移动应用产生，然后再分析{F1，F2}和{F3，F4}的网络行为特征以检测恶意移动应用。为那满足上述假设条件，可以在移动终端上安装代理程序，由该程序确定网络流量与移动应用间的对应关系。但实际中，在移动终端上直接安装代理程序存在众多困难，如需强制用户安装、用户可以自行卸载等。

但是，现有技术中尚未出现对移动应用网络流量进行自动聚类的公开研究和报道。

发明内容

本发明解决的技术问题如何简易地实现对移动应用网络流量的聚类分析。

为解决上述技术问题，本发明实施例提供了一种移动应用网络流量聚类装置，所述装置包括：

获取单元，适于获取移动终端所产生的网络流量；

预处理单元，适于对所获取的网络流量进行预处理，生成DNS流量对应的DNS流量记录集合和除所述DNS流量之外的其他网络流量对应的其他网络流量记录集合；

第一聚类单元，适于对所述DNS流量记录集合进行聚类，得到所述DNS流量对应的多个DNS网络流量类；

第二聚类单元，适于采用所得到的多个DNS网络流量类对所述其他网络流量记录集合进行聚类，得到所述其他网络流量对应的多个其他网络流量类；

合并单元，适于将所述DNS流量对应的多个DNS网络流量类与所述其他网络流量对应的多个其他网络流量类进行合并，得到最终的移动应用网络流量聚类结果。

可选地，所述DNS网络流量包括DNS应答流量和DNS查询流量；

所述预处理单元，适于对所获取的网络流量中的DNS流量进行逐条遍历；当确定遍历至的当前条DNS流量为DNS应答流量时，提取当前DNS流量中的IP地址和域名，组成对应的一条查询记录；当确定遍历至的当前条DNS流量为DNS查询流量时，提取当前DNS流量中的域名和捕获时间，组成对应的一条应答记录；获取所述网络流量中的DNS流量中的下一条DNS流量，直至所述网络流量中的DNS流量全部遍历完成，生成所述DNS流量记录集合。