[发明专利]一种多流关联分析识别私有加密数据的方法及系统

权利要求书

1.一种多流关联分析识别私有加密数据的方法，其特征在于，包括一类私有加密数据识别，所述一类私有加密数据识别过程获得非一类私有加密数据；从所述非一类私有加密数据中进行二类私有加密数据识别；将识别的一类私有加密数据和二类私有加密数据进行引擎上报；

所述二类私有加密数据的识别步骤包括：

获取非一类私有加密数据，对所述非一类私有加密数据进行数据流关联分析；

预设二类私有加密数据的特征码和端口，通过识别第一源IP、第一源端口、第一目的IP和第一目的端口，进行第一会话标识；

进行特征码和端口匹配，判断所述第一会话是否属于二类私有加密数据；

若所述第一会话属于二类私有加密数据进行第二会话的识别处理，所述第二会话的识别处理过程中，通过识别第二源IP、第二源端口、第二目的IP、第二目的端口，进行第二会话标识；

将所述第二会话中的第二源IP、第二目的IP和第二目的端口，分别与所述第一会话中的第一源IP、第一目的IP、第一目的端口进行比较；

若第二源IP和第一源IP，第二目的IP和第一目的IP，第二目的端口和第一目的端口的比较结果均一致，继续进行特征码和端口匹配，判断所述第二会话是否属于二类私有加密数据，若所述第二会话属于二类私有加密数据进行第三会话的识别处理。

2.根据权利要求1所述的一种多流关联分析识别私有加密数据的方法，其特征在于，所述一类私有加密数据的识别步骤包括：

获取解析后的待识别数据，预设黑名单IP列表和白名单IP列表；

判断所述待识别数据中的目的IP是否存在于所述黑名单IP列表中：

若所述目的IP存在于所述黑名单IP列表中，将所述待识别数据作为非一类私有加密数据；

若所述目的IP不存在于所述黑名单IP列表中，则判断所述目的IP是否存在于所述白名单IP列表中；

判断所述待识别数据中的目的IP是否存在于所述白名单IP列表中：

若所述目的IP存在于所述白名单IP列表中，将所述待识别数据作为一类私有加密数据并引擎上报；

若所述目的IP不存在于所述白名单IP列表中，则对待识别数据的TCP负载进行二进制离散法计算，判断TCP负载的离散程度。

3.根据权利要求2所述的一种多流关联分析识别私有加密数据的方法，其特征在于，对待识别数据的TCP负载进行二进制离散法计算，判断TCP负载的离散程度包括：

预设待识别数据的TCP负载的离散程度占比K；

统计0比特出现的次数C₀和1比特出现的次数C₁；

若C₀/(C₀+C₁)：C₁/(C₀+C₁)＝K，将待识别数据作为疑似一类私有加密数据，并对疑似一类私有加密数据进行解密判断；

若C₀/(C₀+C₁)：C₁/(C₀+C₁)≠K，则判断待识别数据不符合一类私有加密数据，将待识别数据作为非一类私有加密数据，并将待识别数据的目的IP加入到黑名单IP列表。

4.根据权利要求2所述的一种多流关联分析识别私有加密数据的方法，其特征在于，对疑似一类私有加密数据进行解密判断包括：

结合疑似一类私有加密数据的特征，预设加密算法的解密程序；

对解析的TCP负载内容采用指定加密算法的解密程序进行解密判断；

若解密成功，将对应待识别数据作为一类私有加密数据并引擎上报，并将待识别数据的目的IP加入到白名单IP列表；

若解密失败：将对应待识别数据作为非一类私有加密数据，并将待识别数据的目的IP加入到黑名单IP列表。