[发明专利]一种ICMP隧道的检测方法、装置、存储介质和电子设备

权利要求书

1.一种因特网控制消息协议ICMP隧道的检测方法，其特征在于，包括：

获取ICMP数据包；

提取所述ICMP数据包中的有效载荷字段；

根据所述有效载荷字段，计算字符串距离，并利用所述字符串距离构建特征向量；

利用预先训练好的检测模型对所述特征向量进行检测，以确定是否存在ICMP隧道；

其中，所述ICMP数据包包括第一请求数据包、第一响应数据包、第二请求数据包和第二响应数据包，且所述第二请求数据包为在所述第一响应数据包之后与所述第一响应数据包相邻的数据包；

所述字符串距离包括第一类字符串距离、第二类字符串距离和第三类字符串距离，所述第一类字符串距离是通过计算所述第一请求数据包中的有效载荷字段和所述第一响应数据包中的有效载荷字段之间的字符串距离确定的，所述第二类字符串距离是通过计算所述第一请求数据包中的有效载荷字段和所述第二请求数据包中的有效载荷字段之间的字符串距离确定的，所述第三类字符串距离是通过计算所述第一响应数据包中的有效载荷字段和所述第二响应数据包中的有效载荷字段之间的字符串距离确定的。

2.根据权利要求1所述的检测方法，其特征在于，在所述利用预先训练好的检测模型对所述特征向量进行检测之前，所述检测方法包括：

利用特征矩阵样本对初始检测模型进行训练，获得所述预先训练好的检测模型，其中，所述特征矩阵样本是由特征向量样本构建的。

3.根据权利要求1所述的检测方法，其特征在于，所述获取ICMP数据包，包括：

通过离线方式获取所述ICMP数据包。

4.一种因特网控制消息协议ICMP隧道的检测装置，其特征在于，包括：

获取模块，用于获取ICMP数据包；

提取模块，用于提取所述ICMP数据包中的有效载荷字段；

计算创建模块，用于根据所述有效载荷字段，计算字符串距离，并利用所述字符串距离构建特征向量；

确定模块，用于利用预先训练好的检测模型对所述特征向量进行检测，以确定是否存在ICMP隧道；

其中，所述ICMP数据包包括第一请求数据包、第一响应数据包、第二请求数据包和第二响应数据包，且所述第二请求数据包为在所述第一响应数据包之后与所述第一响应数据包相邻的数据包；

所述字符串距离包括第一类字符串距离、第二类字符串距离和第三类字符串距离，所述第一类字符串距离是通过计算所述第一请求数据包中的有效载荷字段和所述第一响应数据包中的有效载荷字段之间的字符串距离确定的，所述第二类字符串距离是通过计算所述第一请求数据包中的有效载荷字段和所述第二请求数据包中的有效载荷字段之间的字符串距离确定的，所述第三类字符串距离是通过计算所述第一响应数据包中的有效载荷字段和所述第二响应数据包中的有效载荷字段之间的字符串距离确定的。

5.根据权利要求4所述的检测装置，其特征在于，所述检测装置包括：

训练模块，用于利用特征矩阵样本对初始检测模型进行训练，获得所述预先训练好的检测模型，其中，所述特征矩阵样本是由特征向量样本构建的。

6.根据权利要求4所述的检测装置，其特征在于，所述获取模块，用于通过离线方式获取所述ICMP数据包。

7.一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行如权利要求1-3任一所述的因特网控制消息协议ICMP隧道的检测方法。

8.一种电子设备，其特征在于，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当所述电子设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行如权利要求1-3任一所述的因特网控制消息协议ICMP隧道的检测方法。