[发明专利]一种基于编辑距离的TCP CC识别方法

摘要

本发明公开了一种基于编辑距离的TCP CC识别方法，在恶意连接到达服务器时，直接分析其发送的数据内容，因其为随机数据，必然与特征字节串不匹配，从而立即识别出恶意连接，而不是放行，当同一个恶意攻击者(IP)的连接次数达到阈值后，直接封锁该攻击者(IP)，在整个过程中，服务器上层业务不会收到任何随机数据(垃圾数据)，因而不会受到任何影响。本发明方法能够精准地识别攻击，降低误报率、漏报率，同时因其直接参与连接的过程，可以攻击较早的阶段即可识别阻断，无需等待连接结束后进行分析，极大地提高了识别的效率。

主权项

一种基于编辑距离的TCP CC识别方法，其特征在于，包括以下步骤：步骤1：设定初始的特征字节串S以及特征字节串长度为M，设定编辑距离的阈值为D，且M≥D≥1；步骤2：新连接到来时，接收前M个字节的数据，存放到缓冲区B中；步骤3：计算特征字节串与缓冲区B的内容的编辑距离d；步骤4：比较编辑距离d与阈值D；步骤5：若编辑距离d≥阈值D，则认为该连接的内容与特征字节串差异较大，进行如下操作：1)查找当前连接的源IP地址是否被缓存，若未被缓存则进行步骤2)，否则进行步骤3)；2)缓存源IP地址，并记录其对应的识别失败计数为1，记录该IP缓存超时时间为T；3)判断该IP地址的缓存记录超时时间T是否已超时，若超时则进行步骤4)，否则进行步骤5)；4)设置该IP地址的缓存记录中的识别失败次数为1，并重置该记录缓存超时时间为T；5)更新源IP地址缓存记录的识别失败计数加1；6)判断该IP地址缓存记录的识别失败次数是否超过配置的阈值D，若超过则进行步骤7)，否则关闭该连接，结束本次识别处理；7)关闭该连接，删除该IP地址的缓存记录，并将该IP地址加入系统黑名单，阻止其连接请求；步骤6：若编辑距离d<阈值D，则认为该连接的内容与特征字节串差异较小，进行如下操作加强特征：a)根据判断是否需要动态更新特征字节串，若是则进行步骤b)，否则结束本次处理；b)将提取的前M个字节与特征字节串中的字节一一对应取，得到M对数据(Mi,Si)，i＝1,2,3…n；c)遍历M对数据，计算每对数据的均值(Mi+Si)/2；d)将特征字节串的内容更新为步骤c)得到的均值序列，即：S1＝(S1+M1)/2，S2＝(S2+M2)/2，…，Sn＝(Sn+Mn)/2，其中：S1，S2，…，Sn依次代表特征字节串的第一个字节，第二个字节，…，第n个字节。