[发明专利]一种基于离线流量包解析的仿冒网站识别方法及系统

权利要求书

1.一种基于离线流量包解析的仿冒网站识别方法，其特征在于，包括：

根据已知网站信息库训练随机森林分类器，以构建对仿冒网站的判别模型；

获取待检测网站的数据流并保存为离线流量包，通过该离线流量包得到该待检测网站的网站信息；

根据该已知网站信息库对该网站信息进行规则匹配，对匹配为仿冒网站的待检测网站进行标识，将匹配失败的网站信息通过该判别模型进行判别，并对判别为仿冒网站的待检测网站进行标识。

2.如权利要求1所述的仿冒网站识别方法，其特征在于，对该离线流量包进行解析，以获得数据包网络流标识flow，并对该数据包网络流标识进行TCP/UDP数据包重组，获得该网站信息；其中，flow＝(P Src_IP Dst_IP Src_port Dst_Port)，P为该数据流的网络协议，Src_IP为该数据流的源IP，Dst_IP为该数据流的目的IP，Src_port为该数据流的源端口，Dst_Port为该数据流的目的端口；该网站信息包括该待检测网站的IP和域名，及该数据流对应网页的标题和内容。

3.如权利要求2所述的仿冒网站识别方法，其特征在于，使用工具libnids对该数据包网络流标识进行TCP/UDP数据包重组。

4.如权利要求1所述的仿冒网站识别方法，其特征在于，该判别模型的随机森林分类器函数的特征变量包括：URL结构特征、IP及IP归属地定位、域名注册时间和高频标题词。

5.一种基于离线流量包解析的仿冒网站识别系统，其特征在于，包括：

判别模型构建模块，用于根据已知网站信息库训练随机森林分类器，以得到对仿冒网站的判别模型；

流量包解析模块，用于获取待检测网站的数据流并保存为离线流量包，通过该离线流量包得到该待检测网站的网站信息；

仿冒网站判别模块，用于根据该已知网站信息库对该网站信息进行规则匹配，对匹配为仿冒网站的待检测网站进行标识，将匹配失败的网站信息通过该判别模型进行判别，并对判别为仿冒网站的待检测网站进行标识。

6.如权利要求5所述的仿冒网站识别系统，其特征在于，该流量包解析模块包括：

对该离线流量包进行解析，以获得数据包网络流标识flow，并对该数据包网络流标识进行TCP/UDP数据包重组，获得该网站信息；其中，flow＝(P Src_IP Dst_IP Src_portDst_Port)，P为该数据流的网络协议，Src_IP为该数据流的源IP，Dst_IP为该数据流的目的IP，Src_port为该数据流的源端口，Dst_Port为该数据流的目的端口；该网站信息包括该待检测网站的IP和域名，及该数据流对应网页的标题和内容。

7.如权利要求6所述的仿冒网站识别系统，其特征在于，该流量包解析模块使用工具libnids对该数据包网络流标识进行TCP/UDP数据包重组。

8.如权利要求5所述的仿冒网站识别系统，其特征在于，该判别模型的随机森林分类器函数的特征变量包括：URL结构特征、IP及IP归属地定位、域名注册时间和高频标题词。

9.一种可读存储介质，存储有可执行指令，该可执行指令用于执行如权利要求1～4任一项所述的基于离线流量包解析的仿冒网站识别方法。

10.一种数据处理装置，包括如权利要求9所述的可读存储介质，该数据处理装置调取并执行该可读存储介质中的可执行指令，以进行基于离线流量包解析的仿冒网站识别。