[发明专利]一种TCP流长连接数据分析方法

摘要

本发明公开了一种TCP流长连接数据分析方法，对于已建立的TCP连接数据流，四元组信息建立会话，缓存少量TCP数据，以数据包边界和端口号信息探测内容的方式，来匹配已知协议的特征，再根据协议解析出来的内容、IP地址和端口信息，区分出连接的方向，完整解析协议消息，区分出消息体的边界，并在已有通信解析过程中添加模拟的握手连接信息，并兼容保持TCP标准通信协议，持续解析后续有效数据。本发明解决对于流量中已建立连接的数据，进行协议识别，解析并还原出有效数据，通过在网络流量数据中还原出应用层协议的完整会话行为，用于行为审计和风险发现的信息源；通过未知系统服务上的数据流动，用于发现数据流动关联的信息源。

主权项

1.一种TCP流长连接数据分析方法，包括如下步骤：一、对TCP已建立连接数据流，建立会话，缓存数据；二、根据端口号信息确认选择协议识别顺序；三、根据数据包边界和缓存的内容，保存一定数据量的数据内容；四、依据协议格式规则，先模式匹配出缓存数据所适配的协议集合，再细粒度分析协议是否满足内部的字段间的关系约束；五、使用分析得到的当前协议格式解析出消息内容，提取协议中的字段内容，识别字段特征并验证符合协议约定的有效范围；六、识别网络连接方向，将当前连接加入到解析处理流程中，持续解析协议消息。